Microsoft anuncia iniciativa para reduzir o risco de segurança em servidores on-premises

A Microsoft parte de um diagnóstico direto: servidores on-premises continuam essenciais, mas viraram alvo mais atraente. Segundo a empresa, a IA ajuda atores menos qualificados a analisar software, montar ferramentas maliciosas e repetir fluxos de ataque com mais velocidade e escala, o que encurta o intervalo entre a exposição e a exploração. A iniciativa, inicialmente focada em workloads de servidor, reúne orientação, migração e investimento em produto. A orientação ficará no Secure Now, que também abriga o checklist de prontidão para IA no Microsoft Security Exposure Management.

O núcleo técnico é o On-Premises Baseline Security Mode, que começa por Exchange Server, SharePoint Server e Skype for Business Server compatíveis. A ideia é entregar uma configuração secure by default, validada e testada desde a implantação, reduzindo o que o administrador precisa configurar e manter na mão, sem tirar o controle dele. Em Patch, a Microsoft admite que muitos servidores Exchange não rodam a atualização atual, com uma parcela substancial em versões sem suporte. Desde setembro de 2026, ela publica atualizações Critical e Important fora da Patch Tuesday quando precisa de ação mais rápida. Para o primeiro trimestre de 2027, mira a aplicação automática de atualizações após um período fixo, em ambientes conectados.

Em Configure, o Tenant Configuration Management já avalia ambientes compatíveis e aponta permissões mais amplas que o pretendido. No primeiro trimestre de 2027, a empresa planeja configurações padrão reforçadas e a identificação de desvio de configuração (drift). Em Protect, o Emergency Mitigation Service aplica mitigações provisórias para certas vulnerabilidades emergentes, mas não substitui a correção definitiva. Em dezembro de 2026, entra o Emergency Mitigation Service 2.0 para Exchange e Skype for Business, ativado por padrão, e em janeiro de 2027 a versão chega ao SharePoint. Tudo isso com a ressalva de que os itens "Next" são planos, não entregas.

A cobertura anterior toca o mesmo território no SharePoint. Em 17 de julho de 2026, o CEVIU noticiou "CISA Alerta: Exploração Ativa de Vulnerabilidades no SharePoint Exige Ação Imediata das Empresas", com três vulnerabilidades em servidores SharePoint on-premises sob exploração ativa. O anúncio de agora responde a esse tipo de cenário com mudanças de processo: atualizações fora da Patch Tuesday desde setembro de 2026 e, a partir de janeiro de 2027, mitigação de emergência também para SharePoint. A matéria da CISA não cita a iniciativa, então a ligação é de contexto, não de causa confirmada.

Para quem opera Exchange, SharePoint ou Skype for Business on-premises, a mensagem é que o ciclo mensal de patch deixa de ser o único ritmo a acompanhar. Isso sugere revisar o processo interno para absorver correções fora de calendário e checar se há servidores em versões sem suporte, o grupo que a própria Microsoft aponta como problema. A aplicação automática e os padrões reforçados ainda são metas para 2027, então a postura de hoje continua dependendo de patch manual e configuração própria.