Microsoft corrige 622 falhas, incluindo duas zero-day exploradas ativamente

A Microsoft lançou o maior Patch Tuesday da história: 622 vulnerabilidades corrigidas em julho de 2026, mais que o triplo do recorde anterior (198 em junho). O volume não é acidental: a empresa confirmou que sua nova ferramenta de varredura impulsionada por IA, a 'multi-model agentic scanning harness' (MDASH), está gerando descobertas em escala sem precedentes. Isso muda o jogo para equipes de segurança: não se trata mais de esperar por um ou dois zero-days por mês, mas de lidar com dezenas de falhas críticas em cada ciclo, e com três zero-days já divulgados neste pacote, sendo duas exploradas ativamente no mundo real.

Das duas zero-days ativamente exploradas, a CVE-2026-56155 no AD FS é a mais perigosa para ambientes corporativos com identidade federada. Ela não exige privilégios elevados para começar: basta um usuário autenticado com acesso local ao contêiner DKM, e uma ACL mal configurada, para que chaves privadas de assinatura de tokens sejam decifradas. Já a CVE-2026-56164 no SharePoint Server permite que um invasor não autenticado eleve privilégios pela rede, sem interação do usuário. A CISA impôs prazos rígidos: 17 de julho para agências federais resolverem o SharePoint e 28 de julho para o AD FS. Ignorar esses prazos não é só um risco técnico, é uma exposição regulatória direta.

Em junho de 2026, a Microsoft corrigiu cerca de 200 vulnerabilidades, número já considerado alto na época. Agora, em julho, saltou para 622, com aumento de 211%. Mais importante: enquanto o Patch Tuesday de junho incluía zero-days reportados por pesquisadores (como as correções após disputa com Nightmare Eclipse), o de julho traz duas falhas já exploradas ativamente, e documentadas pela CISA no KEV antes mesmo do lançamento oficial. A CVE-2026-56155 no AD FS, por exemplo, foi adicionada ao catálogo KEV em 14 de julho, um dia antes do Patch Tuesday, confirmando que a exploração já estava em curso. Isso mostra uma mudança de ritmo: não são mais apenas bugs descobertos em laboratório, mas falhas já em uso operacional por ameaças reais.

Essa onda de correções não é só sobre volume, é sobre superfície de ataque expandida. O AD FS e o SharePoint Server são pilares de infraestrutura crítica em milhares de empresas brasileiras, especialmente em setores regulados como finanças e saúde. Uma falha de EoP nesses sistemas pode levar à usurpação de identidades federadas, ao acesso não autorizado a dados sensíveis e à persistência avançada dentro da rede. Além disso, a introdução da MDASH indica que esse ritmo vai se manter: a Microsoft avisou que os próximos Patch Tuesdays terão ainda mais CVEs. Para equipes de TI, isso significa repensar a política de atualização, não dá mais para adiar patches sob alegação de 'testes extensos'. O novo padrão é aplicar atualizações críticas em até 72 horas, com rollback planejado.