Dados principais: 1080 correções no total
- Críticas: 59
- Importantes: 1019
- Moderadas: 1
- Com exploit funcional (weaponized): 0
- Divulgadas publicamente: 0
- Exploração detetada confirmada: 1
Esta é a maior versão do Patch Tuesday do ano em volume, abrangendo o Windows, o Microsoft Office, o Exchange Server, o SharePoint, o SQL Server, os serviços Azure, o Visual Studio e os componentes centrais do sistema operativo. Cinquenta e nove vulnerabilidades Críticas são um número elevado, e três delas partilham a pontuação de risco mais alta da versão, com uma quarta apenas um ponto abaixo.Mas a única vulnerabilidade que a Microsoft assinala com exploração detetada e confirmada não é Crítica de todo. Tem gravidade Moderada. A sua pontuação CVSS é de 6,5, uma das mais baixas da versão deste mês. Nada nesta versão está marcado como weaponized nem como divulgado publicamente, o que faz com que o único caso de exploração confirmada se destaque ainda mais.Esta é a lição deste mês, e é a mesma do mês passado, apenas com os números trocados: a gravidade e o estado de exploração são duas questões diferentes, e a segunda importa mais quando um atacante já está em cena.
CVE-2026-124194: o erro Moderado que já está a ser explorado
Trata-se de uma vulnerabilidade de falsificação (spoofing) no Microsoft Outlook. A própria descrição da Microsoft é invulgarmente clara quanto ao mecanismo: a interface de utilizador do produto não avisa o utilizador de uma ação insegura, o que permite que um atacante não autorizado realize falsificação através de uma rede.Tem uma pontuação CVSS de 6,5 e uma classificação de gravidade Moderada, a única vulnerabilidade Moderada de toda a versão deste mês. A sua pontuação de risco, 24, situa-se perto do fim da versão e não no topo.O que a torna a prioritária não é a sua pontuação, mas sim a própria Avaliação de explorabilidade (Exploitability Assessment) da Microsoft, que a assinala como a única CVE deste mês com exploração detetada e confirmada. Todas as outras vulnerabilidades da versão, incluindo as 59 entradas Críticas, têm uma etiqueta de explorabilidade de menor urgência ou nenhuma. Se fizer a triagem apenas pela pontuação CVSS, esta não estará nem perto do topo da sua lista. Se a fizer com base no que a Microsoft diz que está realmente a acontecer, deve ser a primeira.
Um empate a quatro no topo da escala de gravidade
Quatro vulnerabilidades partilham a pontuação de risco mais alta da versão deste mês. Três delas estão empatadas com uma pontuação de risco de 89: CVE-2026-112967 (Windows Xbox Live Networking Service, execução remota de código), CVE-2026-116928 (Microsoft Exchange Server, execução remota de código) e CVE-2026-119958 (Windows LDAP, execução remota de código). As três são Críticas, as três obtêm 9,8 no CVSS e as três estão classificadas pela Microsoft como «Exploração menos provável» (Exploitation Less Likely), o que significa que ainda não há exploração confirmada de nenhuma delas.A quarta, CVE-2026-119990 (Azure OpenAI, elevação de privilégios), também obtém 9,8 e é Crítica, com uma pontuação de risco de 87. É uma das treze vulnerabilidades deste mês sem qualquer Avaliação de explorabilidade. Inferência: é plausível que se deva ao facto de a Microsoft gerir o Azure OpenAI como um serviço alojado e de o corrigir de forma centralizada, em vez de deixar a correção a cargo dos clientes, de forma semelhante ao que aconteceu com algumas vulnerabilidades do Azure/Entra no mês passado. Verificar: a folha de cálculo não o indica diretamente e, antes de dizer aos clientes que não é necessária nenhuma ação, isto deve ser confirmado no aviso da própria Microsoft para esta CVE.O Exchange Server e o Active Directory Domain Services também figuram entre as entradas de execução remota de código de maior risco deste mês (CVE-2026-118207 e CVE-2026-118146, ambas com uma pontuação de risco de 84), e ambas estão classificadas como «Exploração mais provável» (Exploitation More Likely) em vez de «menos provável», um sinal significativamente diferente que convém ponderar juntamente com a própria pontuação.
O painel de pré-visualização, ainda um vetor de ataque
Dez vulnerabilidades deste mês estão assinaladas com a mesma nota que vimos em versões anteriores: o painel de pré-visualização é um vetor de ataque. No mês passado eram quatro.Cinco delas situam-se no segundo nível de risco mais alto deste mês (84): CVE-2026-110043 e CVE-2026-110068 (RCE do Outlook), CVE-2026-110067 e CVE-2026-111285 (RCE do Word) e CVE-2026-111289 (RCE do Office). As restantes cinco abrangem o PowerPoint, divididas entre execução remota de código e divulgação de informações, com pontuações de risco mais baixas.O padrão é o mesmo que vale a pena repetir todos os meses em que surge: sem cliques, sem macros, sem pedido de «ativar conteúdo». Basta pré-visualizar um ficheiro. A filtragem de anexos e as regras atuais de redução da superfície de ataque (Attack Surface Reduction) são mais importantes do que nunca quando dez caminhos de código distintos este mês passam pela mesma funcionalidade da interface.
A superfície do SharePoint continua a crescer e, desta vez, trata-se de falsificação
O SharePoint acumula 29 CVE este mês, face a 16 no mês passado. A composição também mudou. A falsificação é a maior categoria individual desta vez, com 10 CVE, à frente da elevação de privilégios (9), da execução remota de código (7) e da divulgação de informações (3). A superfície do SharePoint do mês passado inclinava-se para RCE e EoP; este mês, levar um utilizador ou um sistema a confiar em algo em que não deveria é o tema principal.A entrada do SharePoint de maior risco este mês é a CVE-2026-120002, uma vulnerabilidade de elevação de privilégios com uma pontuação CVSS de 9,9 e uma pontuação de risco de 78, classificada como «Exploração menos provável». Tal como antes, o volume é aqui tão importante como qualquer CVE individual: restrinja os privilégios administrativos, monitorize alterações de permissões invulgares e aplique o conjunto completo de patches, em vez de escolher apenas os de maior pontuação.
Um nome novo que vale a pena conhecer: Windows Advanced Rasterization Platform
Vinte e três vulnerabilidades de elevação de privilégios deste mês têm origem no Windows Advanced Rasterization Platform (ARP), um componente que não tinha tido grande destaque em versões recentes. Todas estão marcadas como «Âmbito alterado» (Scope Changed) e exigem um atacante autorizado a agir localmente; as causas de raiz comuns a todo o conjunto são os overflows de buffer na heap, a utilização após libertação (use-after-free) e os overflows de buffer na stack. As pontuações de risco deste grupo vão de 56 a 72.As 23 estão classificadas como «Exploração menos provável» e nenhuma apresenta exploração confirmada. Mas 23 vulnerabilidades de EoP num único componente até agora discreto merecem destaque só por causa do inventário de ativos: verifique se o Windows Advanced Rasterization Platform está presente no seu ambiente e se é acompanhado da mesma forma que os seus componentes Windows mais conhecidos.
O infrator reincidente do SQL Server: a injeção de SQL
O Microsoft SQL Server acumula 52 CVE este mês, entre execução remota de código e elevação de privilégios. Nesse conjunto, onze CVE distintas de elevação de privilégios (incluindo CVE-2026-118105, CVE-2026-118109, CVE-2026-118110 e CVE-2026-118120, todas com CVSS 8,8 e pontuação de risco 72) partilham exatamente a mesma causa de raiz: a neutralização incorreta de elementos especiais utilizados num comando SQL, ou seja, a injeção de SQL, que permite a um atacante autorizado elevar privilégios através de uma rede.Onze CVE da mesma classe de vulnerabilidade subjacente, no mesmo produto e no mesmo mês, indicam normalmente um padrão de código específico que se repete no código-base do SQL Server, e não doze erros sem relação entre si. Se gere o SQL Server à escala, vale a pena aplicar os patches deste grupo como um conjunto e perguntar à sua equipa de DBA se o padrão surge noutros locais, como em procedimentos armazenados ou extensões personalizados.
Hyper-V este mês: elevação de privilégios e negação de serviço, não execução remota de código
O Hyper-V acumula 16 CVE este mês, entre elevação de privilégios, negação de serviço, falsificação e contorno de funcionalidades de segurança. Todas as descrições deste mês exigem que o atacante já tenha acesso local ou autorizado; nenhuma das dezasseis descreve uma máquina virtual convidada a alcançar o anfitrião, o que é um cenário diferente da cadeia de convidado para anfitrião assinalada na versão do mês passado.A entrada de maior risco deste conjunto é a CVE-2026-113753 (elevação de privilégios, CVSS 8,2, pontuação de risco 79), uma das cinco vulnerabilidades de EoP do Hyper-V marcadas como «Âmbito alterado». Se executa uma infraestrutura Hyper-V partilhada, o conjunto deste mês tem menor urgência do que a preocupação com a fuga do anfitrião do mês passado, mas continua a valer a pena aplicar os patches em grupo e não individualmente.
Como ser o herói este mês: siga o exploit, não a pontuação
- Aplique primeiro o patch da CVE-2026-124194. É a única vulnerabilidade deste mês com exploração detetada e confirmada, apesar de ser a única entrada Moderada da versão. O estado de explorabilidade tem prioridade sobre a pontuação CVSS sempre que os dois divergem.
- Não se fique pelas quatro vulnerabilidades Críticas de maior risco. A CVE-2026-112967, a CVE-2026-116928 e a CVE-2026-119958 (todas com pontuação de risco 89) e a CVE-2026-119990 (pontuação de risco 87) são o teto deste mês em termos de pontuação, embora nenhuma apresente, por agora, exploração confirmada.
- Confirme o que significa «sem Avaliação de explorabilidade» para o seu ambiente. Treze CVE deste mês, na sua maioria itens do Azure e de serviços na cloud, não têm qualquer avaliação. Verifique nos avisos da Microsoft se isso significa que o serviço já foi corrigido de forma centralizada ou se ainda é necessária alguma ação da sua parte.
- Volte a tratar o painel de pré-visualização como uma superfície de ataque ativa. Dez caminhos de código distintos deste mês dependem dele, mais do que no mês passado. Mantenha atualizadas a filtragem de anexos e as regras de redução da superfície de ataque.
- Reveja o SharePoint como um sistema e esteja particularmente atento à falsificação. A falsificação, e não RCE ou EoP, é a maior categoria entre as 29 CVE do SharePoint deste mês, uma mudança face à composição do mês passado.
- Verifique se o Windows Advanced Rasterization Platform está presente no seu ambiente. Vinte e três CVE de elevação de privilégios deste mês têm origem neste único componente; confirme que consta do seu inventário de ativos e da sua cadência de aplicação de patches da mesma forma que os componentes mais conhecidos.
- Aplique os patches do grupo de injeção de SQL do SQL Server como um conjunto. Onze CVE distintas deste mês partilham a mesma causa de raiz de injeção de SQL no SQL Server; pergunte à sua equipa de DBA se o padrão subjacente surge noutros locais.
- Dê prioridade à resiliência a par da prevenção. Quando a prevenção falha, é a rapidez da recuperação que limita os danos. A Absolute permite às organizações restaurar rapidamente endpoints comprometidos à escala, através do Absolute Persistence® integrado no firmware e das capacidades automatizadas do Absolute Rehydrate®, ajudando a reduzir o tempo de inatividade e a pressão operacional durante incidentes graves.
See the November 2026 Patch Tuesday Chart (PDF).