Segurança · 13 de novembro de 2026
Microsoft corrige 1 093 falhas de segurança em novembro, incluindo vulnerabilidade zero-day no Outlook
A Microsoft corrigiu 1 093 vulnerabilidades de segurança durante o Patch Tuesday de novembro de 2026. A atualização inclui o reparo de uma falha zero-day no aplicativo Outlook que já está sendo explorada por atacantes para vazar informações de autenticação do Windows.
O lançamento ocorreu na terça-feira, 10 de novembro de 2026, representando a penúltima atualização mensal de segurança da empresa para o ano de 2026. O número total de falhas corrigidas nesta ocasião é inferior ao recorde estabelecido em outubro de 2026, quando 1 407 vulnerabilidades foram reparadas. A redução de 314 falhas em relação ao mês anterior mantém o evento de novembro como o segundo maior Patch Tuesday da história da empresa, superando apenas o evento de setembro, que corrigiu 973 falhas. O sistema de gerenciamento de atualizações da Microsoft continuou a operar conforme o padrão mensal.
O sistema operacional Windows foi o componente mais afetado, com 733 falhas corrigidas. Outros produtos da suíte corporativa também receberam atualizações, incluindo a suíte Microsoft Office com 174 correções, o SQL Server com 52, o SharePoint Server com 27 e o Exchange Server com 9. Em termos de classificação de risco, 535 das vulnerabilidades são do tipo elevação de privilégios, permitindo que um invasor que já tenha acesso parcial a um sistema obtenha permissões mais altas. Além disso, 296 falhas permitem a execução remota de código. No total, 63 vulnerabilidades foram classificadas como críticas.
A atenção principal recai sobre a falha zero-day identificada como CVE-2026-124194, que afeta o Outlook. Apesar de possuir uma pontuação CVSS moderada de 6,5 em uma escala de 10, a vulnerabilidade já está sendo explorada ativamente. A falha é classificada como um erro de spoofing. O cenário de ataque envolve o envio de um arquivo malicioso, descrito pela Microsoft como um arquivo do Office sem especificação de formato, para a vítima. Ao abrir o arquivo, o Outlook se conecta a um local de rede controlado pelo atacante sem exibir o aviso padrão sobre conteúdo externo. Essa conexão resulta no vazamento do hash NTLMv2 do usuário.
O hash vazado não é a senha em si, mas pode ser usado por atacantes para tentar quebrá-la offline ou para realizar ataques de retransmissão NTLM. A Microsoft afirma que a exploração requer conectividade de rede e interação do usuário, pois a vítima precisa abrir o arquivo malicioso para que o ataque seja desencadeado. A empresa não forneceu detalhes sobre os ataques observados. A falha afeta os aplicativos Microsoft 365 para empresas, além das versões Office LTSC 2021 e 2024. As correções foram distribuídas através das atualizações do Office, com as versões corrigidas sendo 16.0.14334.21048 para o LTSC 2021 e 16.0.17932.21140 para o LTSC 2024. O incidente reforça as fraquezas do protocolo NTLM, que a Microsoft planeja desativar por padrão no Windows.
Outras informações relevantes para administradores incluem o fim do suporte de atualizações para o Windows 11 versão 23H2. Para o Windows 11 24H2, apenas as edições Enterprise e Education receberam atualizações cumulativas neste mês, pois as edições Home e Professional receberam suas últimas atualizações em outubro. As atualizações para o Windows 10 são restritas às edições LTSC e a máquinas inscritas no programa ESU.