Resumo direto: em 14 de julho de 2026 a Microsoft publicou o maior Patch Tuesday de sua história: 622 vulnerabilidades corrigidas em uma única atualização, incluindo 59 falhas críticas e três zero-days. Duas delas já vinham sendo exploradas ativamente por criminosos antes mesmo de o patch existir — uma no SharePoint Server, outra no Active Directory Federation Services (AD FS). O volume é quase três vezes o recorde anterior, batido um mês antes, em junho (206 CVEs). A própria Microsoft credita parte do salto ao uso de IA para caçar falhas em escala — o que muda a conta de risco para qualquer empresa que dependa da plataforma.

O que aconteceu no Patch Tuesday de julho de 2026

O maior ciclo de correções já divulgado

Os números, confirmados por Malwarebytes e SecurityWeek, fecham assim:

  • 622 vulnerabilidades corrigidas — recorde histórico;
  • 59 falhas classificadas como críticas, das quais 48 são de execução remota de código (RCE);
  • 3 vulnerabilidades zero-day divulgadas publicamente;
  • 2 delas já exploradas ativamente por invasores antes da correção estar disponível.

Um mês antes, em junho, a Microsoft já tinha batido recorde com 206 CVEs corrigidas. Julho triplicou esse número. Como resumiu a Malwarebytes, “a era dos Patch Tuesdays pequenos pode ter acabado”.

Onde as correções se concentraram

A CyberSecBrazil publicou a distribuição das 622 falhas por produto:

Produto Vulnerabilidades corrigidas
Windows 416
Microsoft Office 82
Microsoft Edge 46
Ferramentas de desenvolvimento (Visual Studio, VS Code, GitHub Copilot) 27
SharePoint Server 17
Azure 11
SQL Server 8
Microsoft Defender 5
Exchange Server 5

Nota: o total acima não inclui vulnerabilidades do Chromium presentes no Edge, que a Microsoft passou a reportar separadamente do Security Update Guide desde meados de 2026.

As vulnerabilidades mais críticas: SharePoint e AD FS

CVE-2026-56164 — SharePoint Server

Essa falha de elevação de privilégio no SharePoint Server podia ser explorada remotamente, pela rede, sem nenhuma credencial válida — o tipo de vulnerabilidade que mais preocupa porque o invasor não precisa de um pé já dentro do ambiente para começar. E o SharePoint não é um sistema qualquer: é onde boa parte das empresas médias e grandes guarda documentos, portais internos e fluxos inteiros de colaboração.

Um agravante, relatado pelo PCGuia: essa correção era só metade de uma cadeia de ataque mais ampla, que combinada permitia execução remota de código completa contra servidores vulneráveis. A Microsoft fechou a primeira metade agora — suficiente para quebrar o ataque — e deixou a segunda para o pacote de agosto.

CVE-2026-56155 — Active Directory Federation Services (AD FS)

Essa falha eleva o invasor a administrador local dentro do AD FS, o serviço que federa identidades e emite tokens de autenticação entre sistemas corporativos. Na prática, comprometer o AD FS abre caminho para roubo de credenciais, emissão fraudulenta de tokens e acesso persistente disfarçado de atividade legítima. É também o tipo de invasão mais difícil de detectar, porque para os sistemas o invasor simplesmente parece um usuário autenticado fazendo seu trabalho. Detalhamos essa mecânica no nosso guia sobre Microsoft Entra ID.

CVE-2026-50661 — BitLocker (divulgada, não explorada)

A terceira zero-day do pacote é no BitLocker: contorna a criptografia do dispositivo, mas só funciona com acesso físico à máquina, o que reduz — sem eliminar — o risco de exploração em massa. A TechRadar não encontrou evidência de exploração ativa especificamente dessa falha, mas ela já era pública antes do patch existir, o que a classifica tecnicamente como zero-day de qualquer forma.

Outras correções relevantes

A CVE-2026-48561, no Microsoft Copilot, também merece nota: CVSS 9,6, execução remota de código através de um site malicioso, segundo a Action1. E das 622 falhas no total, cerca de 250 são de elevação de privilégio — a mesma categoria dos dois zero-days já explorados.

Por que a Microsoft encontrou tantas vulnerabilidades de uma só vez

A Microsoft não escondeu o motivo. Em publicação de 9 de julho, Pavan Davuluri, VP executivo da empresa para Windows, atribuiu o salto diretamente aos avanços de IA: “o ritmo da descoberta de vulnerabilidades está mudando (…), tornando possível encontrar mais problemas, mais rápido, em mais código”. Por trás da frase está o MDASH (multi-model agentic scanning harness), sistema interno que varre o código-base do Windows com mais de 100 agentes de IA — já comentamos essa arquitetura na cobertura dos modelos MAI anunciados no Build 2026, que entregam correções contextualizadas direto no Portal do Defender. Segundo Davuluri, a meta agora é que a descoberta de falhas deixe de ser uma etapa isolada e passe a acontecer junto com a construção e a revisão do próprio Windows, não depois que o código já está pronto.

O número alto é o preço visível de um processo que funciona

622 é desconfortável de ler numa manchete, mas vale separar dois problemas diferentes. Um é técnico: a indústria de segurança ainda mede “gravidade” e “explorabilidade” com métricas pensadas para um mundo em que achar uma falha levava semanas de trabalho manual. Satnam Narang, da Tenable, vem defendendo publicamente que esses índices precisam ser revistos para acompanhar o ritmo da IA — tanto do lado de quem defende quanto do lado de quem ataca. O outro é de percepção: uma vulnerabilidade encontrada pelo próprio fornecedor antes do lançamento é sempre melhor do que a mesma falha descoberta meses depois por um atacante, com o produto já rodando em milhares de empresas.

O padrão não é exclusividade da Microsoft — já mapeamos como agentes de IA aceleraram a descoberta de falhas em outros ecossistemas de software no artigo sobre vulnerabilidades de cibersegurança em 2026.

O que isso revela sobre o cenário atual de ameaças

O fim das “pequenas atualizações”

Dois recordes seguidos com um mês de intervalo formam um padrão, e padrões merecem planejamento, não surpresa mensal. As atualizações de segurança da Microsoft estão ficando mais frequentes e mais críticas ao mesmo tempo — o que empurra qualquer empresa a abandonar a ideia de que Patch Tuesday é rotina administrativa e a tratar isso como triagem contínua, não como um checklist que se cumpre uma vez por mês.

O crescimento dos ataques contra identidade

Das duas falhas exploradas ativamente neste pacote, uma mira direto a infraestrutura de identidade federada — e isso não é acaso. Identidade digital (Microsoft Entra ID, Active Directory, MFA, políticas de Acesso Condicional) já ultrapassou a exploração de rede tradicional como alvo preferencial de invasores em 2026. É o mesmo padrão de campanhas recentes contra ambientes Microsoft, em que contas são comprometidas mesmo com MFA ligado — geralmente porque a política não cobre um fluxo de autenticação legado ou tem uma exceção mal configurada.

Quais riscos as empresas enfrentam ao não aplicar os patches

Ignorar essas duas falhas já exploradas não é uma aposta abstrata. Na prática, abre a porta para ransomware, roubo de credenciais e comprometimento direto de servidores — e no caso do SharePoint, a ausência de exigência de autenticação amplia o risco para qualquer instância exposta à internet ou mal segmentada internamente. O custo raramente para no incidente em si: soma-se a paralisação operacional, o tempo da equipe dedicado à resposta, a produtividade perdida durante a contenção e, se houver vazamento de dados pessoais, os desdobramentos regulatórios sob a LGPD. E o dano que mais demora para cicatrizar costuma ser o menos técnico de todos — a confiança de clientes e parceiros que descobrem, meses depois, que seus dados passaram por um sistema comprometido.

Como as empresas devem responder a esse novo cenário

Passo 1 — Priorizar gestão de vulnerabilidades como processo contínuo

Isso significa manter inventário de ativos atualizado, classificar sistemas por criticidade de negócio e priorizar a aplicação de patches com base em risco real — exploração ativa e exposição do ativo — e não apenas na pontuação CVSS isolada.

Passo 2 — Fortalecer a segurança de identidades

Diante do padrão recorrente de ataques direcionados à camada de identidade, os controles prioritários incluem: MFA aplicado a todos os aplicativos de nuvem (não apenas aos portais administrativos), políticas de Acesso Condicional bem configuradas, Entra ID Protection para detecção de risco de login, e PIM (Privileged Identity Management) para conceder privilégios administrativos apenas pelo tempo estritamente necessário — em vez de acesso permanente.

Passo 3 — Adotar monitoramento contínuo além do patch

Nenhuma janela de patching é instantânea — sempre existe um intervalo entre a divulgação de uma falha e a aplicação completa da correção em todo o parque de máquinas. É esse intervalo que soluções de detecção e resposta cobrem. O Microsoft Defender XDR e o Microsoft Sentinel monitoram comportamento anômalo mesmo antes de um patch específico ser aplicado, enquanto uma operação de MDR/XDR ou um SOC dedicado garante que alguém esteja de fato observando esses sinais fora do horário comercial. Detalhamos como escolher entre essas camadas em MDR, XDR e MXDR: por que viraram prioridade em 2026 e em O que é um SOC? Guia completo sobre o Centro de Operações de Segurança.

O que fazer depois que os patches estiverem aplicados

Aplicar os 622 patches resolve o problema de julho. Não resolve a pergunta maior que o AD FS comprometido deixa no ar: a identidade corporativa da sua empresa está numa arquitetura pensada para os riscos de 2015 ou para os de 2026? Empresas que usam esse ciclo como gatilho — e não só como tarefa de TI a se marcar como concluída — costumam sair dele com a governança de identidade migrada para o Microsoft Entra, detecção unificada no Defender XDR, dados sensíveis mapeados no Purview e, cada vez mais, um modelo de Zero Trust que não presume confiança em nenhuma solicitação de acesso, nem mesmo vinda de dentro da própria rede. Detalhamos esse caminho em O que é o Microsoft Purview e em Zero Trust Network Access: a evolução da VPN.

Conclusão

O Patch Tuesday de julho de 2026 vai ficar marcado como o momento em que ficou difícil ignorar uma mudança que já estava em curso: a inteligência artificial acelera tanto a descoberta de vulnerabilidades quanto a necessidade de resposta das empresas, dos dois lados da disputa. Quem ainda trata patch management como tarefa secundária, resolvida por um técnico em horas vagas, está apostando contra uma janela entre descoberta e exploração que só encolhe, num volume de correções que só cresce.

Sua empresa tem um processo estruturado para priorizar e aplicar correções críticas como as deste Patch Tuesday em horas, não semanas? A InfoB realiza diagnósticos completos de segurança, com foco em gestão de vulnerabilidades e proteção de identidade corporativa no ecossistema Microsoft.

Solicitar diagnóstico de segurança Microsoft

Perguntas frequentes sobre o recorde de correções da Microsoft

Quantas vulnerabilidades a Microsoft corrigiu em julho de 2026?

622 — quase o triplo do recorde do mês anterior (206, em junho). É o maior Patch Tuesday da história da Microsoft até hoje.

Quantas vulnerabilidades zero-day foram identificadas?

Três. Uma no BitLocker, só divulgada publicamente. As outras duas já estavam sendo exploradas ativamente antes mesmo de o patch existir: uma no SharePoint Server, outra no AD FS.

Quais produtos Microsoft foram mais afetados?

O Windows, disparado: 416 das 622 falhas. Office vem em segundo lugar (82), seguido por Edge (46) e SharePoint Server (17).

Por que as correções aumentaram tanto neste ciclo?

A própria Microsoft aponta o uso interno de IA — o sistema MDASH, que varre o código do Windows com mais de 100 agentes — como o principal fator por trás do salto.

O que a vulnerabilidade do SharePoint permitia exatamente?

Explorar a falha remotamente e sem autenticação — perigosa até para um invasor que nunca teve nenhuma credencial de acesso ao ambiente.

O que a vulnerabilidade do AD FS permitia exatamente?

Dava a um invasor privilégio de administrador dentro do serviço que emite os tokens de autenticação da empresa — na prática, um caminho para se passar por qualquer usuário legítimo.

Leia também no blog da InfoB