Radar Tech: Patch Tuesday recorde de 206 CVEs, SharePoint no prazo de 72h e a Cisco muda o calendário de disclosure

O Patch Tuesday de junho de 2026 da Microsoft corrigiu 206 CVEs num único lote — o maior da história do programa, superando o recorde anterior de 175 CVEs firmado em outubro de 2025. A consequência é direta: descoberta de vulnerabilidade acelerou dos dois lados, ataque e defesa, e o volume de correção mensal virou um problema de arquitetura de operação, não só de segurança.

O motivo apontado pela própria Microsoft

Do lote de 206 falhas, 3 já eram zero-day exploradas publicamente e 37 foram classificadas como críticas — a maior parte concentrada em elevação de privilégio (32%) e execução remota de código (27%). Tom Gallagher, VP de Engenharia da Microsoft, atribuiu o volume à IA acelerando a descoberta de vulnerabilidades em uma escala nunca vista — e avisou que lotes desse tamanho tendem a virar rotina, não exceção.

Na prática, isso significa que o intervalo entre uma falha existir e alguém encontrá-la — atacante ou defensor — está encolhendo. Quem ainda trata patch mensal como janela confortável de planejamento precisa revisar essa suposição.

SharePoint com prazo de 72 horas

A CISA adicionou o CVE-2026-45659 — falha de desserialização de dados não confiáveis no SharePoint Server, CVSS 8.8 — ao catálogo KEV (Known Exploited Vulnerabilities) em 1º de julho, com prazo de remediação até 4 de julho pra agências federais americanas. Um atacante autenticado, com permissão mínima de Site Member, já consegue executar código remoto no servidor.

A Microsoft já tinha corrigido a falha em maio, pras versões Subscription Edition, 2019 e Enterprise Server 2016 — ou seja, o problema não é falta de patch disponível, é o tempo entre patch disponível e patch aplicado. É essa janela que o prazo de 72 horas da CISA está tentando fechar.

A Cisco muda o próprio calendário

A Cisco anunciou uma mudança estrutural na forma como divulga vulnerabilidade: a partir de julho, lançamentos passam a seguir calendário fixo — 1ª e 3ª quarta-feira de cada mês —, com aviso prévio de sete dias sobre quais tecnologias serão cobertas em cada lote. Produtos de rede (IOS XE, IOS XR, NX-OS, Firepower/ASA, SD-WAN) seguem cadência trimestral separada.

Por trás da mudança está um framework de descoberta agêntica: múltiplos agentes especializados em análise estática de código, teste em sistema ativo, revisão de configuração e simulação de exploração, rodando em conjunto pra identificar padrões arquiteturais recorrentes — não só instâncias isoladas de bug. Em outras palavras: a Cisco está tentando corrigir a classe inteira de defeito de uma vez, em vez de apagar incêndio falha por falha.

O que isso muda pra quem desenha arquitetura

• Cadência de patch previsível (Cisco) facilita planejamento de janela de manutenção — o oposto do modelo ad hoc que a maioria dos fornecedores ainda usa
• KEV com prazo de 72h muda o cálculo de risco de "aplicar no próximo ciclo" pra "aplicar agora", especialmente em software exposto à internet
• Volume de CVE crescendo por causa de IA dos dois lados significa que triagem manual de vulnerabilidade não escala mais — automação de resposta deixa de ser opcional

Nenhuma dessas três mudanças é isolada. Juntas, apontam pra uma reestruturação de como o setor trata o ciclo inteiro de vulnerabilidade — descoberta, divulgação, correção — puxada pela mesma tecnologia que tornou a descoberta mais rápida.

Fontes: The Hacker News, Cisco Blogs, CISA (Known Exploited Vulnerabilities Catalog).