Durante anos, a gestão de vulnerabilidades funcionou segundo um ciclo relativamente previsível: uma vulnerabilidade era descoberta, divulgada, avaliada, priorizada e, por fim, corrigida. Esse modelo está a tornar-se cada vez mais difícil de manter.
A «Patch Tuesday» da Microsoft de setembro de 2026 é a prova mais clara até à data, com um número recorde de 973 vulnerabilidades corrigidas numa única atualização. Com a IA a acelerar a descoberta de vulnerabilidades, o desenvolvimento de exploits e a execução de ataques, as organizações têm de corrigir as vulnerabilidades mais rapidamente para conseguirem acompanhar o ritmo. Esta é uma questão crítica para os ISV (fornecedores independentes de software), que têm agora de ter em conta a rapidez nas suas soluções de gestão de correções ( vulnerability detection ) e de gestão de patches.
Principais conclusões
- A «Patch Tuesday» da Microsoft de setembro de 2026 bate um novo recorde com 973 vulnerabilidades corrigidas, incluindo duas vulnerabilidades «zero-day» já exploradas (CVE-2026-85880, CVE-2026-81963)
- A IA está a reduzir o intervalo de tempo entre a descoberta de uma vulnerabilidade e a sua exploração. Os autores de ameaças podem, cada vez mais, recorrer à IA para acelerar a descoberta de vulnerabilidades, o desenvolvimento de explorações e a execução de ataques.
- A gestão de vulnerabilidades e de correções está a tornar-se uma capacidade de segurança em tempo real. Detetar vulnerabilidades já não é suficiente. As organizações precisam de as priorizar e corrigir rapidamente, à velocidade da IA.
- A gestão de patches tem de ir além da simples elaboração de relatórios. Os clientes precisam de produtos que os ajudem a identificar vulnerabilidades, a priorizar os riscos e a tomar medidas rapidamente, e não que se limitem a indicar-lhes o que está errado.
- Os ISVs podem transformar a segurança incorporada numa vantagem competitiva. A integração de funções de deteção e correção de ameaças ( vulnerability detection ) e de remediação diretamente no produto pode proporcionar uma experiência mais fluida ao cliente, ao mesmo tempo que ajuda os clientes a reduzir a sua janela de exposição.
Uma análise mais aprofundada da «Patch Tuesday» da Microsoft de setembro de 2026
A 8 de setembro de 2026, a Microsoft lançou correções para 973 CVEs (Common Vulnerabilities and Exposures), o maior lançamento de segurança único da história do programa e um aumento de mais de 350 em relação ao recorde anterior de 622, registado em julho. O lançamento abrange o Windows, o Microsoft Office, o SQL Server, o Exchange, o SharePoint, o Azure e as ferramentas de desenvolvimento, sendo que 723 das correções dizem respeito apenas ao Windows.
Uma análise da Cyber Security News classificou os CVEs comunicados em diferentes tipos de vulnerabilidades, destacando o número de CVEs identificados em cada categoria, conforme se segue:
Categoria de vulnerabilidade | Contagem |
Aumento de privilégios | 438 |
Execução remota de código | 258 |
Divulgação de informações | 173 |
Negação de Serviço | 56 |
Contornar a funcionalidade de segurança | 19 |
Falsificação | 16 |
Adulteração | 13 |
IMEDIATO para vulnerabilidades ativamente exploradas
- Uma pontuação elevada numa vulnerabilidade que ninguém está a explorar representa um risco operacional menor do que uma falha com pontuação média numa campanha em curso
ALTA PRIORIDADE para vulnerabilidades críticas e execução remota de código (RCE) — No prazo de uma semana
- Vulnerabilidade de execução remota de código no Kerberos do Windows (CVE-2026-69676): A contornagem da autenticação através da técnica de captura e reprodução no Kerberos do Windows permite que um atacante autorizado execute código através de uma rede.
- Vulnerabilidade de execução remota de código no Windows DNS Server (CVE-2026-69730), explorável sem autenticação
NEXT para sistemas críticos para o negócio — Dentro do prazo padrão
- Correções restantes do Windows classificadas como «Críticas», incluindo problemas no modo kernel e no enclave de segurança baseado em virtualização do « Secure »
- Sistemas essenciais para o negócio, tais como o Office, o SQL Server, o SharePoint e o Exchange
CONTÍNUO - Aplicações de terceiros – Ciclo contínuo
- As aplicações de terceiros — navegadores, ambientes de execução e leitores de PDF — são alvo de exploração ativa com a mesma frequência que a pilha da Microsoft e não constam em nenhum resumo da «Patch Tuesday»
- Dispositivos recém-instalados e que regressam: um terminal que esteve offline em setembro herda todo o atraso assim que se reconecta
O que é que isto significa para os ISV?
As vulnerabilidades estão a surgir mais rapidamente do que as medidas tradicionais de correção
A gestão tradicional de vulnerabilidades já era um desafio. Os ambientes de software modernos incluem sistemas operativos, aplicações de terceiros, bibliotecas, dependências, controladores e componentes que criam continuamente novas superfícies de ataque.
Agora, com a IA, acrescenta-se mais uma dimensão: a velocidade.
- As vulnerabilidades podem ser detetadas mais rapidamente. Os modelos de IA e os sistemas agentivos podem ajudar os investigadores a analisar código-fonte, ficheiros binários, dependências, configurações e superfícies de ataque numa escala que seria difícil de replicar manualmente.
- As explorações podem passar da descoberta à implementação no espaço de um dia. Um relatório da Infosecurity Magazine destaca uma nova realidade: os modelos de IA estão a reduzir o intervalo de tempo entre a divulgação de uma vulnerabilidade e a sua exploração para pouco menos de 24 horas.
- A correção manual não consegue acompanhar o ritmo dos ataques à velocidade das máquinas. Detetar uma vulnerabilidade é apenas o começo. As organizações continuam a precisar de identificar os terminais e as aplicações afetados, avaliar a gravidade, encontrar as correções disponíveis e determinar com que rapidez e segurança estas podem ser implementadas. À medida que os ambientes de software crescem, a gestão manual deste processo torna-se cada vez mais difícil de escalar.
Para além da «Patch Tuesday»
A «Patch Tuesday» tem uma vantagem: é previsível. As datas são publicadas com antecedência; as atualizações do Windows são cumulativas e a maioria das empresas já utiliza ferramentas criadas especificamente para as instalar.
As aplicações de terceiros não oferecem nada disso. O problema não é que não tenham horários, mas sim que cada uma delas tem um horário diferente:
- O Google Chrome passou a adotar um ciclo de lançamento de duas semanas a 8 de setembro de 2026, com atualizações de emergência fora do ciclo normal sempre que uma vulnerabilidade de dia zero for explorada
- O Oracle Java é lançado na terceira terça-feira do mês, sendo que as Atualizações de Patches Críticos e as Atualizações de Patches de Segurança Críticos trimestrais preenchem os meses intermédios; um ritmo semelhante ao da Microsoft, mas nunca na mesma semana
- O Mozilla Firefox passou a adotar um ciclo de lançamento de duas semanas a partir de 1 de setembro de 2026
- As aplicações de colaboração e produtividade, como o Zoom, o Slack e o Notion, são atualizadas continuamente e, muitas vezes, de forma silenciosa
- Os programas utilitários e as ferramentas de código aberto, como o 7-Zip, o Notepad++ e o VLC, são lançados sem aviso prévio
Nenhuma destas atualizações aparece numa atualização cumulativa do Windows, e várias são instaladas pelo utilizador em vez de serem incluídas numa imagem gerida, o que significa que desaparecem do inventário antes de deixarem de receber a atualização.
Para os ISVs, é aqui que a cobertura se torna um fator diferenciador, em vez de apenas mais um requisito a cumprir. Os clientes que estão a avaliar o seu produto já resolveram, na maioria das vezes, a questão das atualizações da Microsoft. O que ainda não resolveram é a longa lista de aplicações de terceiros, e é essa lacuna que o seu produto está em posição de colmatar.
O antigo normal já não funciona
O panorama da segurança está a evoluir a um ritmo mais acelerado do que os processos tradicionais de aplicação de correções e as verificações do estado dos terminais, que foram concebidos para lidar com essa situação. Para os fornecedores independentes de software (ISV), isso significa que as capacidades de segurança do passado podem já não ser suficientes para responder aos requisitos de segurança empresariais atuais.
- «O antivírus está a funcionar?» já não é uma pergunta suficiente. Os compradores empresariais querem, cada vez mais, saber se o dispositivo que se está a ligar tem patches em falta para CVEs cujas vulnerabilidades já são exploradas, e não apenas se existe um agente de segurança algures no disco.
- A vossa equipa de engenharia tem agora de lidar com um alvo em constante mudança. Cada aplicação, produto de segurança, versão do sistema operativo e nível de correção que o vosso produto precisa de reconhecer contribui para um fardo cada vez maior. Quando são lançadas mais de 970 correções num mês, o fardo da manutenção agrava-se.
- Os dados sobre vulnerabilidades, por si só, não resolvem o problema. Os clientes precisam de compreender o que está afetado, qual é a gravidade da situação, se existe uma correção e que medidas devem tomar.
- A deteção sem correção deixa os clientes expostos. Identificar uma aplicação vulnerável só tem valor se os clientes puderem agir rapidamente para reduzir essa exposição.
Repensar a sua oferta
Se os atacantes estão a agir à velocidade da IA, os fornecedores de software independentes (ISV) têm de repensar o que os seus produtos permitem que os clientes façam. A gestão de patches já não pode ser um processo periódico e manual. Tem de se tornar contínua, mais rápida, mais inteligente e mais orientada para a ação.
Para os ISVs, isso significa desenvolver funcionalidades de gestão d vulnerability detection es e de correções que ajudem os clientes a:
- Mantenha uma visibilidade contínua. Proporcione aos clientes uma visão atualizada das aplicações e dos terminais vulneráveis, para que possam identificar a exposição assim que esta surgir, e não semanas após a última avaliação.
- Correção, não apenas notificação. Informar um administrador de que um dispositivo está desatualizado ou apresenta vulnerabilidades tem pouco valor quando a janela de exploração é de 24 horas. Torne a aplicação de patches parte integrante do fluxo de trabalho existente do produto, em vez de obrigar os clientes a alternar entre várias ferramentas de segurança e de gestão de TI.
- Forneça mais contexto sobre a explorabilidade, em vez de meros números. Dê aos clientes a possibilidade de distinguir as vulnerabilidades «zero-day» ativamente exploradas das outras mais de 970 correções incluídas na mesma versão.
- Dê prioridade ao que é mais importante. Ajude os clientes a lidar com o volume crescente de CVEs através de informações que identificam quais as vulnerabilidades que requerem atenção imediata. A priorização automatizada transforma os dados sobre vulnerabilidades em decisões concretas de correção.
Isto significa que a gestão de vulnerabilidades e de correções já não é apenas uma função de segurança de back-end. Pode afetar diretamente o valor do produto, a experiência do cliente e a capacidade de um ISV para competir.
Como se enquadra a estrutura OPSWAT
OPSWATA estrutura OESIS da [empresa] é um SDK de segurança de terminais incorporável que proporciona aos ISV uma interface única e consistente para avaliar e aplicar correções automáticas a sistemas operativos e a milhares de aplicações de terminais em Windows, macOS e Linux, com uma cobertura que é atualizada assim que surgem novas vulnerabilidades.
«Num mundo em que a IA pode acelerar a descoberta e a exploração de vulnerabilidades, a segurança não pode limitar-se à deteção. Os fornecedores independentes de software (ISV) devem aproveitar a oportunidade para transformar a informação sobre vulnerabilidades em ação, ajudando os clientes a identificar riscos, a dar prioridade ao que é importante e a corrigir esses riscos priorizados de forma eficiente e rápida.» Brent Beachem, Diretor de Produtos
Com o OESIS Framework, as empresas podem identificar, avaliar e mapear mais de 98 500 CVEs únicas e mais de 175 000 instâncias de vulnerabilidades, com suporte para mais de 1000 aplicações. Deteta automaticamente as correções em falta e corrige vulnerabilidades em centenas de aplicações de terceiros e sistemas operativos.
Ao integrar funcionalidades de avaliação de vulnerabilidades e gestão de correções no seu produto, pode oferecer aos clientes um fluxo de trabalho de segurança mais completo, desde a deteção de vulnerabilidades até à sua priorização e correção, sem os obrigar a alternar entre ferramentas independentes.
Não se limite a ajudar os clientes a identificar vulnerabilidades. Ajude-os a eliminar o risco de forma mais rápida e eficiente.
