Microsoft Lança o Maior Patch Tuesday da História: 200 Correções e 3 Vulnerabilidades Zero-Day

A Microsoft quebrou seu próprio recorde na última terça-feira, 9 de junho de 2026, com o lançamento do maior Patch Tuesday da história. A empresa disponibilizou correções para aproximadamente 200 falhas de segurança, superando com folga a marca anterior de 167 CVEs, registrada em outubro de 2025 . Embora o volume de atualizações seja impressionante, o grande destaque vai para a correção de três vulnerabilidades zero-day que se tornaram públicas, sendo que duas delas surgiram de um protesto aberto contra as políticas de divulgação de falhas da Microsoft.

Os Números de um Patch Tuesday Recordista

Diferentes empresas de segurança chegaram a contagens ligeiramente distintas de CVEs devido a correções fora do ciclo normal, mas o consenso gira em torno de 200 falhas. O BleepingComputer e a Rapid7 relatam 200 falhas; a Qualys contabilizou 206, incluindo bugs previamente corrigidos para Mariner, Azure e Copilot; e a Tenable registrou 198 CVEs . Deste total, 33 foram classificadas como Críticas e o restante como Importantes. A distribuição por categoria inclui 65 falhas de Elevação de Privilégio (EoP), 55 de Execução Remota de Código (RCE), 30 de Divulgação de Informações, 27 de Spoofing, 19 de Burla de Recurso de Segurança e 7 de Negação de Serviço (DoS) .

Os Três Zero-Days Divulgados Publicamente

Um ponto crucial: nenhuma das três vulnerabilidades zero-day era conhecida por ter sido explorada ativamente antes do lançamento dos patches .

CVE-2026-45586 — Elevação de Privilégio no CTFMON (GreenPlasma)

Esta é uma falha de "seguimento de link" no Collaborative Translation Framework (CTFMON) do Windows. Ela permite que um invasor autenticado, com acesso local ao sistema, escale privilégios para o nível SYSTEM. A Microsoft listou o descobridor como anônimo, mas pesquisadores de segurança rapidamente conectaram a falha ao exploit “GreenPlasma”, divulgado pelo pesquisador conhecido como Nightmare Eclipse (também chamado de “Chaotic Eclipse” pela comunidade). A divulgação foi parte de uma campanha para protestar contra os programas de recompensa por bugs e divulgação de vulnerabilidades da Microsoft .

CVE-2026-49160 — Negação de Serviço no HTTP.sys (A “Bomba HTTP/2”)

Essa é uma vulnerabilidade de consumo descontrolado de recursos (CWE-400) na pilha de protocolo HTTP/2, com uma pontuação CVSS de 7.5. Um invasor remoto não autenticado pode explorar a falha enviando uma pequena quantidade de dados que força o servidor a alocar uma quantidade desproporcional de memória. Ao manipular as configurações de controle de fluxo do HTTP/2, o invasor pode manter essa memória ocupada indefinidamente . Descoberta por Quang Luong e Codex da Calif.io, o ataque pode derrubar servidores web afetados em questão de segundos . Para mitigar o problema, a Microsoft introduziu uma nova configuração no registro do Windows, chamada MaxHeadersCount (documentada na KB5102602), para limitar os cabeçalhos de solicitações HTTP/2 e HTTP/3 .

CVE-2026-50507 — Burla do Recurso de Segurança do BitLocker (YellowKey)

É uma falha no mecanismo de proteção que permite a um invasor não autenticado, com acesso físico ao dispositivo, burlar a criptografia do BitLocker. O ataque explora o Ambiente de Recuperação do Windows (Windows Recovery Environment) em unidades protegidas apenas pelo chip TPM. Este é o segundo exploit da campanha de Nightmare Eclipse corrigido neste mês, conhecido publicamente como “YellowKey” .

A Campanha Nightmare Eclipse

O pesquisador Nightmare Eclipse lançou publicamente uma série de zero-days do Windows — com nomes como BlueHammer, MiniPlasma, RedSun, UnDefend, GreenPlasma e YellowKey — como forma de protesto contra a maneira como a Microsoft gerencia seu programa de recompensas por bugs. Embora os patches de junho tenham resolvido o GreenPlasma e o YellowKey, outros três exploits da mesma campanha (BlueHammer, RedSun e UnDefend) foram relatados como ativamente explorados no início de junho, o que levou a CISA (Cybersecurity and Infrastructure Security Agency, a agência americana de segurança cibernética) a adicioná-los ao seu catálogo de Vulnerabilidades Exploradas Conhecidas .

Novidades nas Atualizações Cumulativas do Windows 11

As atualizações obrigatórias de junho para o Windows 11 trouxeram mais do que apenas correções de segurança. Duas atualizações cumulativas principais foram lançadas: a KB5094126 para as versões 25H2 (build 26200.8457) e 24H2 (build 26100.8457), e a KB5093998 para a versão 23H2 (build 22631.7079) . A Microsoft também disponibilizou uma atualização de segurança estendida, a KB5094127, para o Windows 10 .

Os principais novos recursos da atualização do Windows 11 incluem :

• Modo Xbox: Uma funcionalidade que oferece uma experiência semelhante à de um console Xbox diretamente no PC, agora disponível para mais dispositivos.
• Áudio Compartilhado: Permite que duas pessoas ouçam o mesmo fluxo de áudio de um PC simultaneamente usando a tecnologia Bluetooth LE Áudio.
• Monitoramento de NPU no Gerenciador de Tarefas: O aplicativo agora exibe o uso da Unidade de Processamento Neural (NPU), memória dedicada/compartilhada e outras métricas.
• Câmera Multiaplicativo: Permite que múltiplos aplicativos acessem o fluxo da câmera ao mesmo tempo.
• Melhorias de Desempenho: Um novo perfil de baixa latência acelera a inicialização de aplicativos e interações com a interface do sistema, como o Menu Iniciar, Pesquisa e Central de Ações.
• Melhorias na Instalação: Os usuários agora podem escolher um nome personalizado para a pasta do seu perfil durante a configuração do Windows.

Cenário de Segurança Mais Amplo: Adobe Também Entra em Ação

No mesmo dia, a Adobe lançou 11 avisos de segurança, corrigindo 123 vulnerabilidades em produtos como Acrobat Reader, ColdFusion, InDesign e Experience Manager. Dessas, 47 foram classificadas como Críticas e poderiam levar à execução arbitrária de código, elevação de privilégio ou negação de serviço .

Combinadas, Microsoft e Adobe lançaram correções para um total de 329 vulnerabilidades no dia 9 de junho de 2026 . O ecossistema mais amplo também viu ação, com o Google corrigindo impressionantes 360 falhas no Microsoft Edge/Chromium no início do mês — vulnerabilidades que não entram na contagem padrão do Patch Tuesday .