Patch Tuesday de agosto de 2026: a Microsoft corrige mais de 420 falhas

A “Patch Tuesday” de agosto de 2026 da Microsoft foi lançada como uma das maiores atualizações de segurança do ano, corrigindo 421 CVEs, incluindo mais de 40 classificadas como críticas, de acordo com o Guia de Atualizações de Segurança da Microsoft e diversos fornecedores de segurança que acompanham o lançamento. A atualização é marcada por uma falha no driver do kernel ativamente explorada, um bug de elevação de privilégios divulgado publicamente ligado a um pesquisador há muito em desacordo com a Microsoft e uma cadeia de execução remota de código no SharePoint sinalizada pela Rapid7.

O Grupo Lazarus explora uma vulnerabilidade zero-day no driver do kernel

A correção mais urgente é a CVE-2026-68820, uma vulnerabilidade do tipo “use-after-free” no Driver de Funções Auxiliares do Windows para WinSock (afd.sys), o driver em modo de kernel que sustenta a API do Windows Sockets. A Microsoft afirma que um invasor autenticado localmente pode desencadear uma condição de corrida por meio de um aplicativo especialmente criado para obter privilégios de SISTEMA sem a interação do usuário. A Check Point Research relatou que o Grupo Lazarus, da Coreia do Norte, explorou a falha como parte de sua campanha “Operação Dream Job”, utilizando contatos falsos de recrutadores e um visualizador de PDF infectado com trojan para implantar o Troy, um novo backdoor, antes de escalar privilégios e instalar uma versão atualizada de seu rootkit em modo de kernel, o FudModule. A atividade concentrou-se em organizações dos setores de defesa, aeroespacial e de aviação na Europa, Índia e Brasil. A CISA adicionou o CVE-2026-68820 ao seu catálogo de Vulnerabilidades Exploradas Conhecidas, com prazo para correção até 25 de agosto.

Uma disputa pública sobre o LegacyHive

A Microsoft também corrigiu o CVE-2026-62832, uma falha de elevação de privilégios no Serviço de Perfil de Usuário do Windows. O bug permite que um invasor autenticado, que possua credenciais de outra conta local, force o serviço a carregar o hive do Registro dessa conta — potencialmente a de um administrador —, concedendo acesso não autorizado a esses dados e aos direitos de administrador. A Microsoft atribuiu a descoberta a um pesquisador anônimo, embora os detalhes técnicos correspondam ao LegacyHive, uma prova de conceito que o pesquisador pseudônimo Nightmare Eclipse publicou poucas horas após a Patch Tuesday de julho. Como um código de exploração funcional já havia circulado publicamente, a Microsoft avaliou que era mais provável que a falha fosse explorada de forma mais ampla.

A Rapid7 completa uma cadeia de RCE no SharePoint

Completando esta versão está a CVE-2026-63520, uma vulnerabilidade de execução remota de código no SharePoint Server originada na instanciação insegura de tipos .NET dentro dos Serviços de Conectividade Empresarial. A Rapid7 divulgou-a juntamente com a Microsoft como a segunda parte de uma cadeia de exploração criada para o Pwn2Own Berlin. Em conjunto com o CVE-2026-55040, a contornada de autenticação JWT divulgada pela Rapid7 em julho, as duas falhas permitem que um invasor não autenticado execute código em um servidor SharePoint vulnerável com os privilégios de sua conta de serviço, sem a necessidade de credenciais.