Radar Tech: Patch Tuesday recorde — 972 correções, 112 críticas e a descoberta de bugs por IA como "novo normal"

Na última terça-feira, a Microsoft publicou provavelmente a maior leva de correções de sua história: cerca de 972 vulnerabilidades corrigidas em um único ciclo, sendo 112 classificadas como críticas. Para efeito de comparação, há apenas dois meses a empresa havia batido o recorde anterior, com 570 correções — e no mês passado foram cerca de 620. A tendência não é acidente: é uma nova curva.

O que está no boletim

• Volume recorde: ~972 vulnerabilidades corrigidas (997 se contarmos o porting de correções do Chromium embutidas no Edge).
• 112 críticas e o restante classificado como "important".
• Dois zero-days explorados ativamente: CVE-2026-81963, no Windows Update Stack (falha de link following, CWE-59, CVSS 7.8), e CVE-2026-85880, no Windows ALPC (heap buffer overflow, CWE-122, CVSS 7.8). Ambos permitem escalada local de privilégio.
• Mais de 20 vulnerabilidades wormable — ou seja, exploráveis sem interação do usuário e capazes de se espalhar de máquina em máquina sozinhas. O pesquisador parou de contar em 20.
• Só em 2026, a Microsoft já corrigiu mais de 2.760 vulnerabilidades — mais que o dobro do ano anterior.

Por que isso é "novo normal"

Dustin Childs, do programa Zero Day Initiative, resume o fenômeno: a descoberta de vulnerabilidades assistida por IA "não mostra sinais de desaceleração". Ferramentas de IA estão encontrando falhas — inclusive falhas graves e exploráveis — em ritmo industrial. A contrapartida é que todo o restante do processo precisa escalar junto: triagem, priorização e tempo de resposta.

Há uma tensão honesta aqui. Críticos questionam o custo, os falsos positivos e os interesses comerciais por trás da onda de IA para caça de bugs. Do outro lado, os números falam: a Mozilla relatou 271 vulnerabilidades encontradas com uma única ferramenta, com quase nenhum falso positivo. O que já é certo é que quem descartar essa mudança de fase o faz por conta e risco.

O problema de arquitetura que ninguém resolveu

O ponto cego é este: priorizar por CVSS não funciona mais quando o volume explode. Uma lista com centenas de itens "críticos ou importantes" transforma o SLA em ficção. As duas falhas exploradas do mês são CVSS 7.8 — severidade alta, mas não é o 10 que costuma capturar a atenção — e, no entanto, são o que importa de verdade, porque uma já está sendo explorada e ambas fecham a cadeia de um ataque: são o passo que transforma um acesso inicial limitado em controle total da máquina.

A pergunta de arquitetura deixa de ser "qual é a nota mais alta?" e passa a ser: "o que é wormable, o que está exposto à internet, e o que guarda segredo ou dado sensível?" Nessa ordem.

Contenção antes do patch — a arquitetura como rede de segurança

Existe uma janela inevitável entre a divulgação pública de uma falha e a aplicação efetiva do patch em toda a frota. Cobertura de patch raramente é 100%: endpoints em campo, sistemas legados, janelas de manutenção congeladas. Durante essa janela, o que protege não é o patch que ainda não chegou — é a arquitetura:

• Reduzir o blast radius com microssegmentação e políticas deny-by-default, para que o comprometimento de um host não vire da noite para o dia comprometimento da rede.
• Cortar o movimento lateral com controle de egress, interrompendo a propagação que uma falha wormable procura.
• Eliminar o privilégio permanente (least-privilege, remoção de admin local, JIT), que é exatamente o que a escalada local de privilégio tenta explorar.
• Detectar o sinal de exploração, em vez de depender só da remoção da falha.

Nenhuma dessas camadas elimina o risco — todas compram tempo, e comprar tempo é o que mantém a produção de pé até o patch chegar.

A conclusão prática

O "novo normal" não vai virar "normal antigo". Se a descoberta assistida por IA continua acelerando, a capacidade de absorver boletins gigantes com consistência — sem depender de heroísmo manual nem de priorização por nota — vira uma competência de arquitetura, não de operação. Priorizar por impacto real, expor-se à realidade do ambiente e documentar o risco residual de forma auditável é o que separa uma resposta caótica de uma resposta governada.

É exatamente essa a lacuna que o prompt desta semana ataca: um pacote que transforma um boletim com centenas de CVEs em um ADR de resposta priorizado, com contenções que funcionam antes do patch e critérios objetivos de verificação.

Fontes: Ars Technica (Dan Goodin / Zero Day Initiative) e NVD — CVE-2026-81963 e CVE-2026-85880.