Falha no Windows já explorada: atualização de outubro é urgente

No dia 13 de outubro, a Microsoft liberou o pacote mensal de atualizações de segurança com um volume recorde: mais de 1.400 falhas corrigidas de uma só vez, segundo as contagens da imprensa especializada. Em meio a tanta coisa, um item merece atenção imediata de qualquer empresa que use Windows: a CVE-2026-96951, uma falha no Windows Shell que já está sendo explorada em ataques reais.

A própria Microsoft confirmou a exploração, e a agência americana de cibersegurança (CISA) incluiu a falha no seu catálogo de vulnerabilidades exploradas, dando aos órgãos federais dos EUA apenas três dias para corrigir. Abaixo explicamos o que essa falha faz, por que ela importa para a sua empresa e o que fazer agora.

O que aconteceu

Todo arquivo que chega pela internet, seja um anexo de e-mail, um download pelo navegador ou um arquivo recebido por mensageiro, ganha do Windows uma marcação invisível chamada Mark of the Web ("marca da web"). É essa marcação que faz o Windows exibir aquele aviso de "este arquivo veio da internet, tem certeza?", aciona a verificação do SmartScreen e faz o Office abrir documentos no Modo de Exibição Protegido.

A CVE-2026-96951 é uma falha de injeção de comando no Windows Shell, o componente que cuida de arquivos, pastas e atalhos. Com um arquivo preparado de um jeito específico, o criminoso consegue contornar a proteção da marca da web. Na prática, o arquivo malicioso abre sem o alerta que normalmente faria o funcionário desconfiar.

Alguns dados importantes sobre a falha:

• Gravidade: nota 8,8 de 10 na escala CVSS, segundo a Microsoft.
• Como é explorada: pela rede, sem precisar de senha, mas depende de a vítima abrir um arquivo ou clicar em um link recebido por e-mail ou mensagem.
• Quem é afetado: as versões com suporte do Windows 10, do Windows 11 e do Windows Server.
• Situação: exploração confirmada pela Microsoft; a CISA incluiu a falha no catálogo de vulnerabilidades exploradas com prazo de correção até 16 de outubro de 2026 para os órgãos federais americanos.

Segundo a Tenable, esta já é a terceira falha do Windows Shell explorada em ataques ao longo de 2026. A Microsoft não divulgou detalhes de quem está por trás dos ataques nem de como eles foram conduzidos.

Por que isso importa para a sua empresa

Quase todo ataque de ransomware e de roubo de dados começa do mesmo jeito: alguém da empresa abre um anexo ou clica em um link. O aviso do Windows sobre arquivos da internet é uma das últimas barreiras antes desse clique virar um problema. Quando essa barreira é contornada, o golpe fica muito mais convincente, porque o arquivo abre como se fosse confiável.

O momento também não ajuda. Levantamentos divulgados neste mês colocam o Brasil entre os países com mais vítimas de ransomware em setembro, e o e-mail continua sendo a porta de entrada preferida dos criminosos. Para a pequena e média empresa, que muitas vezes não tem uma equipe de TI dedicada, a atualização atrasada é justamente o tipo de brecha que esses grupos procuram.

Atenção às máquinas sem suporte

A correção chega pelo Windows Update para as versões que ainda recebem atualizações de segurança. Quem ficou para trás não recebe a proteção:

• Windows 10 fora do programa ESU (atualizações de segurança estendidas) não recebe a correção desta falha.
• Windows 11 24H2 nas edições Home e Pro chegou ao fim do suporte em 13 de outubro: a atualização deste mês foi a última. A partir de novembro, só quem estiver na 25H2 ou mais recente continua recebendo correções.
• Servidores antigos, como o Windows Server 2012 e 2012 R2, só recebem correções com o programa ESU contratado.

Se esse cenário parece familiar, vale reler o nosso artigo sobre o prazo do Windows 10 e do Server 2012. Uma falha explorada como esta mostra, na prática, o custo de manter máquinas sem atualização na rede.

O que fazer agora: checklist

1. Instale as atualizações de outubro em todos os computadores e servidores Windows. Abra o Windows Update, clique em "Verificar se há atualizações" e reinicie a máquina ao final. A correção só vale depois da reinicialização.
2. Confira máquina por máquina. Notebook que fica fora da empresa, computador que nunca é desligado e servidor que "não pode reiniciar" costumam ser os que ficam sem atualização.
3. Identifique as versões sem suporte (Windows 10 sem ESU, Windows 11 24H2 Home e Pro, servidores antigos) e planeje a atualização ou a troca.
4. Avise a equipe: desconfie de anexos inesperados, principalmente boletos, notas fiscais, comprovantes e arquivos compactados, mesmo que venham de contatos conhecidos. Na dúvida, confirme por telefone antes de abrir.
5. Reforce a proteção do e-mail com filtro de anexos e links, para que o arquivo malicioso nem chegue à caixa de entrada.
6. Mantenha antivírus ou EDR ativo e atualizado em todas as estações: ele é a próxima barreira se o alerta do Windows falhar.
7. Tenha backup fora da rede e teste a restauração. Se um ataque passar, é o backup que salva a operação.

Atualização não pode depender de lembrar

Um pacote com mais de 1.400 correções em um único mês mostra como o ritmo de descoberta de falhas acelerou. Para a empresa, a lição é simples: atualizar o Windows não pode ser uma tarefa que alguém faz quando lembra. Precisa ser rotina, com controle de quais máquinas já receberam a correção e quais ficaram para trás.

Na Nexum, fazemos esse acompanhamento para os nossos clientes: inventário de computadores e servidores, aplicação das atualizações com janela programada para não parar o expediente, revisão das máquinas sem suporte e configuração de backup e proteção de e-mail. Com o Nexum Defense, a sua rede ganha monitoramento contínuo, para que um alerta como este seja tratado antes de virar incidente.

Resumo

• A atualização de 13 de outubro de 2026 da Microsoft corrigiu a CVE-2026-96951, falha do Windows Shell já explorada em ataques.
• A falha permite driblar a marca da web, o aviso que o Windows mostra antes de abrir arquivos vindos da internet.
• A exploração depende de a vítima abrir um arquivo ou link, normalmente recebido por e-mail ou mensagem.
• Instale as atualizações e reinicie todas as máquinas; Windows 10 sem ESU e Windows 11 24H2 Home e Pro não terão mais correções.
• Reforce a orientação da equipe, a proteção do e-mail e o backup.