Windows recebe atualização histórica com correção de 206 falhas de segurança

A Microsoft lançou, nesta semana, o maior pacote de atualizações de segurança de sua história. São 206 correções para falhas no Windows e outros softwares da empresa, 39 delas foram classificadas como críticas. Três das vulnerabilidades já eram conhecidas publicamente antes do lançamento das correções.

Uma vulnerabilidade é basicamente uma brecha no código de um programa. Ela pode permitir que um atacante invada um sistema, roube dados ou execute ações maliciosas sem autorização. Quanto mais crítica a classificação, maior o risco.

O pacote de junho cobre 63 falhas de escalada de privilégios, 56 de execução remota de código, 30 de divulgação de informações, 27 de spoofing, 20 de bypass de recursos de segurança, sete de negação de serviço e três de adulteração de dados.

As falhas mais graves

A vulnerabilidade mais perigosa do lote recebeu pontuação 9,8 de 10 na escala de severidade e foi catalogada como CVE-2026-45657. Ela afeta o próprio kernel do Windows, o núcleo do sistema operacional.

Um atacante pode explorar essa falha enviando pacotes de rede especialmente criados para um computador vulnerável. Isso porque o kernel do Windows processa dados de rede usando o protocolo TCP/IP, e essa brecha permite que o código malicioso seja executado com os mais altos privilégios do sistema sem que nenhum usuário precise clicar em nada ou fazer login.

Outras duas falhas também receberam pontuação 9,8. A CVE-2026-47291 afeta o Windows HTTP.sys, componente responsável pelo tráfego web no sistema, e permite execução de código remoto via rede. A CVE-2026-44815 atinge o cliente DHCP do Windows.

O DHCP é o serviço que distribui endereços de rede automaticamente para os dispositivos, uma função básica em qualquer rede corporativa ou doméstica. Um atacante poderia enviar tráfego de rede manipulado para um sistema que use DHCP e, sem credenciais ou ação do usuário, comprometer completamente o servidor. O risco inclui roubo de dados, instalação de malware e movimentação dentro da rede.

Falhas no BitLocker

A atualização também corrige três vulnerabilidades no BitLocker, ferramenta de criptografia de disco do Windows. As CVEs 2026-45655, 2026-45658 e 2026-50507 permitem que um atacante com acesso físico ao dispositivo consiga acessar dados criptografados.

Um pesquisador de segurança identificou a CVE-2026-50507 como a correção para uma técnica chamada bitskrieg, que dava acesso completo a dados protegidos pelo BitLocker.

Zero-days divulgados publicamente

Três falhas foram confirmadas como zero-days divulgados publicamente, o que significa que informações sobre elas estavam disponíveis antes da correção. A CVE-2026-45586 é uma vulnerabilidade de escalada de privilégios no Windows CTFMON, componente de entrada de texto do sistema. Pesquisadores suspeitam que ela seja a correção para um exploit chamado GreenPlasma.

A CVE-2026-49160 afeta o HTTP.sys e pode ser usada para derrubar servidores web. Em testes realizados por pesquisadores, um servidor IIS esgotou 64 GB de memória RAM em cerca de 45 segundos por meio de uma técnica chamada HTTP2/Bomb. Para mitigar o problema, a Microsoft criou uma nova configuração de registro chamada MaxHeadersCount, que limita a quantidade de cabeçalhos permitidos em requisições HTTP/2 e HTTP/3.

Por que tantas correções?

O número de CVEs lançados pela Microsoft em 2026 já supera o total de todo o ano de 2018. A explicação está no uso crescente de inteligência artificial para encontrar vulnerabilidades, tanto por pesquisadores de segurança quanto por atacantes.

A tendência é que o volume continue crescendo. Pesquisadores do setor alertam que, com modelos de IA cada vez mais avançados disponíveis para qualquer pessoa, a velocidade de descoberta de falhas aumentou em escala incontrolável.

Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.