No Patch Tuesday de 13 de outubro de 2026, a Microsoft corrigiu 1.407 vulnerabilidades em seus produtos — o maior volume já registrado em uma única atualização mensal —, sendo 69 classificadas como críticas. O lote inclui duas falhas tratadas como "zero-day": a CVE-2026-108398, no .NET Framework, divulgada publicamente antes de existir correção (sem evidência de exploração até o momento), e a CVE-2026-96951, no Windows Shell, com nota 8,8 na escala CVSS e já confirmada como explorada ativamente antes da correção. No mesmo dia, a CISA incluiu a CVE-2026-96951 em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). Essa falha permite contornar o recurso "Mark of the Web" (MOTW) do Windows — a marcação que o sistema aplica a arquivos baixados da internet e que normalmente ativa avisos de segurança e o modo de Visualização Protegida ao abrir documentos do Office, scripts ou outros arquivos potencialmente perigosos.

Por que isso importa para uma PME brasileira: praticamente toda PME brasileira usa Windows em pelo menos parte de seus computadores, e o e-mail com anexo malicioso continua sendo a porta de entrada mais comum para golpes e ataques de ransomware contra empresas pequenas. O Mark of the Web é exatamente a camada de defesa que avisa o usuário quando um arquivo compactado, um atalho (.lnk) ou um documento vieram da internet e merecem desconfiança — uma falha que permite contornar esse aviso retira, na prática, uma das últimas barreiras entre um e-mail de phishing bem feito e a execução de um malware na máquina do funcionário.

O que fazer agora: aplique as atualizações do Windows de outubro de 2026 o quanto antes em todos os computadores da empresa, via Windows Update ou pela ferramenta de gestão de atualizações usada pelo seu provedor de TI — isso vale tanto para a CVE-2026-96951 (já explorada) quanto para as demais 1.406 correções do lote. Como o aviso que normalmente alertaria sobre arquivos suspeitos pode estar comprometido, reforce com a equipe que arquivos compactados, atalhos ou documentos recebidos por e-mail ou mensagem, mesmo sem alerta visível, exigem desconfiança redobrada antes de serem abertos. Mantenha antivírus ou solução de proteção de endpoint ativa e atualizada como camada adicional, já que ela não depende apenas do aviso do Windows para detectar arquivos maliciosos.

Fontes primárias: boletim oficial da Microsoft sobre a CVE-2026-96951 e catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) da CISA.