Patch Tuesday da Microsoft de novembro de 2026: uma falha entre 1 095 recebeu uma pontuação de 6,5 e está a ser alvo de ataques

A única vulnerabilidade da Microsoft que foi explorada este mês está classificada como «Moderada» — e apresenta a classificação mais elevada de maturidade de exploração atribuída pela Microsoft. Foi descoberta por um investigador que utilizou IA e já estava a ser explorada em ambiente real. Entretanto, a falha que, na verdade, conseguiu contornar as firewalls este mês não era, de todo, da Microsoft.

Em resumo

O número de entradas corresponde aos CVEs classificados pela Microsoft com uma classificação de impacto, excluindo 267 CVEs de terceiros republicados (pacotes Azure Linux / Mariner, CVEs do Chromium atribuídos pelo Google). Incluindo esses, o documento contém 1 362 linhas. A Tenable e o Krebs relatam 1 093, o ZDI aproximadamente 1 090 e o BleepingComputer 1 235, com base em critérios diferentes. Os nossos dados provêm da revisão de 11 de novembro. Novembro representa uma queda de 23% em relação aos 1 418 de outubro — o segundo mês com um número de quatro dígitos, mas não um novo recorde.

A libertação, por classe de impacto

1 095 CVEs criados pela Microsoft.

A elevação de privilégios representa 49% da vulnerabilidade e requer, em primeiro lugar, um ponto de entrada. A execução remota de código é o tipo de ataque que ocorre sem esse ponto de entrada. A Tenable contabiliza 287 produtos afetados; os mais afetados são o Office Word (65), o Office Excel (64) e o SQL Server (53).

O que realmente importa este mês

Cinco coisas, por ordem de prioridade.

1. A única falha da Microsoft que foi explorada obteve uma pontuação de 6,5 — e a Microsoft classifica a maturidade da sua exploração como «Elevada»

Este é o nível mais elevado da escala: código de exploração amplamente disponível e fiável. O CVE-2026-124194 é uma falha do Outlook que provoca a fuga de hashes NTLM, e o CVSS subestima-a porque o impacto se limita à confidencialidade e requer a interação do utilizador. Dos 1 095 CVEs, 1 084 estão classificados como Como «Não comprovado» e outro encontra-se na categoria Prova de Conceito. O CVSS classificou-a como «Moderada». A maturidade da exploração indica que se deve avançar agora.

2. A correção não está incluída na atualização cumulativa do Windows

A correção será disponibilizada em atualizações de segurança do Office — Microsoft 365 Apps for Enterprise e Office LTSC 2021/2024 — e não na KB5132061. Um ambiente que implemente o pacote cumulativo mensal do Windows e considere o assunto resolvido continuará vulnerável. O prazo da CISA é 24 de novembro.

3. A IA apareceu em ambos os lados do mesmo mês

A Microsoft atribui a descoberta do Outlook a um investigador que trabalhava «utilizando o Claude com a Anthropic» — e a falha já estava a ser explorada quando foi detetada. No mesmo contexto, os atacantes utilizaram assistência de IA para criar a cadeia de exploração php2shell que conseguiu acesso root aos firewalls da Palo Alto. Tanto a descoberta como a exploração foram aceleradas, no mesmo ciclo noticioso.

4. Os verdadeiros prejuízos deste mês vieram da PHP, e não da Microsoft

CVE-2026-109618 e CVE-2026-109619 são vulnerabilidades de execução remota de código (RCE) sem autenticação no próprio núcleo do PHP — EPSS 0,9999, o valor mais elevado de qualquer CVE neste período. O honeypot da Amazon detetou uma tentativa de exploração quatro dias antes da divulgação pública, enquanto ainda se encontrava sob embargo. Pelo menos 25 firewalls da Palo Alto foram invadidos. Nada disto aparece num feed da Patch Tuesday.

5. O volume continua a diminuir à medida que o risco diminui

1 095 CVEs da Microsoft, uma explorada — 0,09%. Os dados da VulnCheck revelam que os CVEs publicados aumentaram 45% em relação ao ano anterior, enquanto os casos de exploração confirmados cresceram 10%, e a percentagem de vulnerabilidades exploradas caiu para 1,4%, face a um pico de 2,7%. No entanto, o tempo mediano entre a publicação e a exploração diminuiu de 120 para 80 dias. O número de vulnerabilidades está a diminuir; o tempo até à exploração está a encurtar.

Orientações sobre medidas de mitigação

As cinco correções da Microsoft que exigem um plano, e não apenas um patch. Para cada uma delas: o que um atacante faz realmente com ela, o que deve procurar no seu próprio ambiente e o que fazer para além de implementar a atualização.

CVE-2026-124194 — Microsoft Outlook, divulgação de hash NTLM

EXPLORADO · CVSS 6,5 · Maturidade da exploração: Elevada · KEV com vencimento a 24 de novembro de 2026 · CWE-356

A Microsoft classifica isto como «spoofing»; na prática, trata-se de uma fuga de credenciais. Um ficheiro de mensagem manipulado faz com que o Outlook aceda a um local controlado pelo atacante sem o aviso habitual relativo a conteúdo externo, e o Windows autentica-se automaticamente, revelando o hash NTLMv2 do utilizador. A classificação 6,5 reflete apenas o impacto na confidencialidade, além da interação necessária — não diz nada sobre o valor que uma credencial de domínio retransmitida pode ter.

Como é que os atacantes exploram isto

• Envie um ficheiro de mensagem personalizado; o utilizador abre-o. O Painel de Pré-visualização não é um vetor — o ficheiro tem de ser aberto.
• O Outlook estabelece ligações de saída e o Windows efetua a autenticação automática, expondo o hash NTLMv2.
• Transmita-o em direto contra qualquer serviço que não disponha de assinatura SMB/LDAP ou de Proteção Alargada para Autenticação, ou descodifique-o offline quando lhe for mais conveniente.

O que é preciso ter em atenção

• Tráfego de saída SMB (porta 445) para destinos externos pouco depois de um ficheiro de mensagens ser aberto.
• Tentativas de autenticação NTLM para destinos na Internet — verifique o registo de eventos «NTLM Operational».
• Se a assinatura SMB, a assinatura LDAP e a EPA são efetivamente aplicadas. São estas que transformam um hash divulgado na sequência de uma violação de segurança num problema.
• Não foram publicados quaisquer IOCs e não foi identificado nenhum agente, pelo que a única opção é a procura baseada no comportamento.

Orientações sobre medidas de mitigação

• Instale a atualização do Office, não apenas o pacote cumulativo do Windows. As aplicações do Microsoft 365 para Empresas e o Office LTSC 2021/2024 incluem a correção. Esta é a situação em que é mais provável que pense que já aplicou a correção, quando na verdade ainda não o fez.
• Os terminais vêm antes dos servidores. A entrega é feita por e-mail e o destinatário é uma pessoa.
• Aplique a assinatura SMB e LDAP e a Proteção Alargada para Autenticação, caso ainda não o tenha feito. Estas medidas impedem o relé em todas as futuras variantes deste problema, e não apenas nesta CVE.
• Bloqueie o tráfego SMB de saída no perímetro. Raramente há uma razão legítima para isso.

CVE-2026-116928 — Componente de pesquisa do Windows, execução remota de código

CRÍTICO · CVSS 9,8 · AV:N / PR:N / UI:N · Gatilho: anexo indexado · Ainda não foi explorado

RCE pré-autenticação sem interação do utilizador. O pormenor que a distingue das outras vulnerabilidades com classificação de 9,8: um anexo malicioso enviado para um servidor Exchange é processado automaticamente quando indexado. Ninguém abre nada. É necessário aplicar as correções tanto do Windows como do Exchange para resolver totalmente a vulnerabilidade.

Como é que os atacantes exploram isto

• Envie um anexo criado para qualquer caixa de correio num servidor Exchange com a indexação ativada.
• O indexador de pesquisa analisa a mensagem e executa o processo, antes de um utilizador ver a mensagem.

O que é preciso ter em atenção

• Servidores Exchange com a indexação de conteúdos ativada — o que corresponde à maioria deles.
• Processos filhos inesperados provenientes do indexador de pesquisa ou dos componentes de transporte do Exchange.
• Servidores de ficheiros com o Windows Search ativado em partilhas que aceitam uploads.

Orientações sobre medidas de mitigação

• Patch ambos Windows como no Exchange. Metade da correção deixa a porta aberta.
• Trate-o com a mesma urgência que o elemento explorado — sem autenticação, sem interação e através de um mecanismo de entrega que todas as organizações já utilizam.
• Confirme se a atualização chegou a todos os servidores do DAG, e não apenas ao que testou.

CVE-2026-119958 — LDAP do Windows, execução remota de código

CRÍTICO · CVSS 9,8 · Gravação fora dos limites · AV:N / PR:N / UI:N · Ainda não foi explorada

Gravação fora dos limites sem autenticação no serviço LDAP. O LDAP funciona em todos os controladores de domínio, o que torna esta situação o equivalente, em novembro, ao problema do DNS: o serviço vulnerável e os ativos mais valiosos encontram-se no mesmo anfitrião.

Como é que os atacantes exploram isto

• Enviar tráfego LDAP personalizado para um controlador de domínio acessível. Sem credenciais, sem clicar em nada.
• Executar no contexto do serviço LDAP — num DC, ou seja, no próprio diretório.

O que é preciso ter em atenção

• Que redes conseguem aceder ao 389/636 nos vossos centros de dados? A resposta é, normalmente, «mais do que gostariam».
• O serviço LDAP entra em falha ou reinicia sem que tenha ocorrido qualquer alteração correspondente.
• DCs expostos a segmentos «guest», de acesso remoto ou OT.

Orientações sobre medidas de mitigação

• Primeiro os controladores de domínio, antes do conjunto geral de servidores. Tudo o resto no diretório depende deles.
• Restringir a acessibilidade ao LDAP durante a implementação. Os controlos de rede permitem ganhar tempo; apenas a correção elimina o erro.
• Já que está por aí: se a assinatura LDAP não for obrigatória, este mês dá-lhe duas razões independentes para resolver essa situação.

CVE-2026-88218 — Windows DNS Server, execução remota de código

CRÍTICO · CVSS 9,8 · AV:N / PR:N / UI:N · 4 CVEs relacionados com o DNS neste ciclo · Ainda não explorada

Execução remota de código sem autenticação no DNS do Windows, uma das quatro falhas de DNS deste ciclo e parte das 30 CVEs que a ZDI considera passíveis de propagação por worm. Na maioria dos ambientes, o DNS Server é executado em controladores de domínio, pelo que esta falha tem o mesmo impacto que a falha de LDAP acima referida — o que significa que uma única janela de manutenção permite resolver ambas.

Como é que os atacantes exploram isto

• Envie um pacote manipulado para qualquer servidor DNS do Windows acessível.
• Executar no contexto do serviço DNS; num DC co-residente, o que constitui um caminho direto para o comprometimento do domínio.

O que é preciso ter em atenção

• Servidores DNS que partilham um host com o Active Directory — faça um inventário antes de agendar, e não durante.
• O DNS do Windows é acessível a partir das VLANs dos utilizadores, das faixas de acesso remoto ou da Internet.
• As outras três vulnerabilidades (CVE) do DNS incluídas nesta versão; aplique as correções como um todo.

Orientações sobre medidas de mitigação

• Combinar com a correção LDAP numa única janela de manutenção do DC. Dois 9.8s no mesmo anfitrião justificam o adiantamento da janela.
• O facto de ser apenas uma rede interna não constitui uma medida de mitigação quando o ponto de entrada inicial é um portátil alvo de phishing.
• Verifique o estado do serviço após a aplicação do rollup — quatro correções de DNS num único ciclo representam uma área de regressão maior do que o habitual.

CVE-2026-119952 — Schannel do Windows, execução remota de código

CRÍTICO · CVSS 8.1 · Maior probabilidade de exploração · AV:N / PR:N / UI:N · Ainda não foi explorada

O Schannel é a implementação TLS do Windows — funciona na base de tudo o que estabelece uma ligação encriptada. Apresenta uma pontuação inferior à das falhas acima referidas, mas é uma das poucas classificações «Exploitation More Likely» (Exploração mais provável) desta versão, o que significa que a Microsoft está a indicar de onde espera que venha a próxima exploração maliciosa.

Como é que os atacantes exploram isto

• Aceda a qualquer serviço que utilize o TLS através do Schannel — IIS, RDP, LDAPS, SMB sobre TLS.
• Executar durante o processo de estabelecimento da ligação, antes de se chegar à autenticação.

O que é preciso ter em atenção

• Todos os serviços do Windows ligados à Internet que estabelecem ligações TLS. A área de risco é mais vasta do que qualquer nome de produto isolado possa sugerir.
• Erros de canal ou falhas no estabelecimento de ligação que se acumulam nos registos de eventos do sistema.

Orientações sobre medidas de mitigação

• Atribua maior peso à avaliação da Microsoft do que à classificação 8,1. «Maior probabilidade de exploração» é uma avaliação prospectiva; o CVSS é uma descrição estática.
• Primeiro os terminadores TLS voltados para a Internet e, em seguida, os internos.
• Não existe nenhuma solução alternativa de configuração — o Schannel não pode ser desativado. A atualização é a forma de controlo.

Lançamentos de terceiros

Onde a exploração realmente ocorre. Quarenta e duas das quarenta e três vulnerabilidades CVE cuja exploração foi confirmada neste período provêm de fora da Microsoft. Nove delas são dispositivos de perímetro ou de borda.

PHP e Palo Alto

php2shell · EPSS 0,9999 · EXPLORADO

CVE-2026-109618 e CVE-2026-109619 são vulnerabilidades de execução de código remoto (RCE) sem autenticação no próprio núcleo do PHP, divulgadas a 21 de outubro. Uma delas corrompe a memória durante a limpeza do pedido após uma condição de falta de memória; a outra reutiliza um estado de pedido desatualizado num worker reciclado. Afetam todas as instalações do PHP que servem pedidos web — PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed — sendo o mod_php o mais vulnerável, uma vez que a exploração ocorre antes da execução do código da aplicação. Corrigidas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

O honeypot MadPot da Amazon registou uma tentativa de exploração em 17 de outubro, quatro dias antes da divulgação e ainda sob embargo. Os atacantes combinaram-na com uma falha de escalada de privilégios do kernel chamada «Fragnesia» para implementar web shells com direitos de root nas interfaces de gestão das firewalls da Palo Alto; a Dream Research identificou pelo menos 25 sistemas comprometidos. Palo Alto: «Não é necessária qualquer configuração especial para que o sistema seja afetado.» Segundo a SecurityWeek, os atacantes utilizaram assistência de IA para construir a cadeia de exploração.

Ivanti

Ligar Secure · cadeia fechada · EXPLORADO

O relatório de outubro assinalou que a cadeia «Connect Secure » tinha um elo sem correção. Esta já foi corrigida. As vulnerabilidades CVE-2026-111357 (CVSS 8,8, falta de autenticação no serviço de manutenção de raiz dsinvoked) e CVE-2026-118527 (4,3, identificadores previsíveis que permitem a corrida de upload) foram corrigidas a 29 de outubro nas versões 25.1.1.3 e 22.8R2.6. Ambas entraram no KEV a 30 de outubro; o prazo para a 118527 é 13 de novembro — faltam dois dias.

Vale a pena ler a análise detalhada da Volexity sobre o UTA0576: a fase «dsinvoked» executou uma carga útil em Python que modificou temporariamente uma biblioteca na memória, redirecionou uma tarefa de manutenção para ser executada como root e, em seguida, restaurou a configuração original e o estado da memória. Sem web shell, sem backdoor persistente — os comandos eram transmitidos através de pedidos HTTPS repetidos. A fase pós-exploração permitiu obter as palavras-passe de administrador do LAPS do Windows e as chaves de recuperação do BitLocker. O dispositivo comprometido estava totalmente atualizado na altura. «Um resultado limpo na verificação de integridade, por si só, não exclui a possibilidade de comprometimento.»

Adobe

110 CVEs · 9 boletins · CRÍTICO

O Adobe Connect é o destaque — APSB26-191, 24 CVEs, dos quais 18 são críticos, atingindo um valor máximo de 10,0 na escala CVSS e acessíveis através da rede sem autenticação nem interação do utilizador. A ZDI considera-o o boletim da Adobe mais abrangente e grave do mês. O Experience Manager (APSB26-189) acrescenta mais 14, incluindo quatro com classificação de 9,9 que requerem apenas uma conta com privilégios reduzidos.

Apenas esses dois são de Prioridade 2; os restantes sete boletins são de Prioridade 3. Nenhuma das vulnerabilidades do lote da Adobe deste mês está a ser explorada — mas a CVE-2026-48356, uma falha que permite o envio irrestrito de ficheiros no Commerce e no Magento, entrou no KEV a 27 de outubro com um EPSS de 0,475. Este é o terceiro mês consecutivo em que se confirma a exploração de uma falha no Adobe Commerce.

SAP

43 notas · 12 Notícias em Destaque · CRÍTICO

A Onapsis considera isto um recorde: 43 Notas de Segurança novas e atualizadas, 12 HotNews e quatro vulnerabilidades com pontuação CVSS 10.0, todas sem necessidade de autenticação. Duas delas são o par de falhas de corrupção de memória ICM2SHELL — CVE-2026-76964 (NetWeaver AS ABAP) e CVE-2026-89126 (Web Dispatcher e HANA XSA). A CVE-2026-89103 é a «PROXYGATE», uma falha no controlo de acesso no SAP Gateway, e a CVE-2026-120017 é a ausência de autenticação no fornecedor de serviços SAML2 do NetWeaver.

Duas armadilhas operacionais. O PROXYGATE necessita de uma alteração manual dos parâmetros do perfil após a aplicação da correção — a correção, por si só, não o fecha. Além disso, a solução alternativa que desativa o WebSocket para o ICM2SHELL não é explicitamente recomendada pela SAP. Os investigadores entregaram à SAP exploits funcionais; ainda não foram relatados casos de exploração em ambiente real.

Dispositivos de perímetro

Citrix · SonicWall · Barracuda · EXPLORADAS

Barracuda é a mais recente: as vulnerabilidades CVE-2026-116606 (contornamento de autenticação) e CVE-2026-111560 (injeção de comandos no sistema operativo) estão explicitamente encadeadas; a Barracuda confirma ataques a «um pequeno número de organizações»; a watchTower publicou código de exploração; e ambas têm data de lançamento marcada para 13 de novembro.

A vulnerabilidade CVE-2026-19868 (7.1) da SonicWall permite que um utilizador com credenciais válidas não SAML contorne a autenticação multifator (MFA) imposta pelo SAML na SSL-VPN. Não existe solução alternativa; as correções são as versões 7.3.4-7013 e 8.2.3-8015, com lançamento previsto para 20 de novembro. A Citrix lançou a correção para o CVE-2026-107406 (CVSS 9,5, NetScaler configurado para SAML) a 8 de outubro, bem como um pacote de correções separado para o php2shell nas versões 14.1-73.49 / 13.1-64.32, que também inclui as correções de setembro e outubro.

Mozilla Firefox

160 · 99 CVEs · SEM EXPLORAÇÃO

O Firefox 160 (MFSA 2026-125) foi lançado na «Patch Tuesday» com 99 CVEs — 57 de risco elevado, 24 moderado, 18 baixo e nenhum crítico. As versões ESR 115.45 e 153.7 foram lançadas em simultâneo, juntamente com o Thunderbird 160 e 153.7. Noventa e nove vulnerabilidades numa única versão do navegador estão muito acima da média histórica da Mozilla e seguem o mesmo padrão de volume da Microsoft, embora a Mozilla não tenha atribuído publicamente esta situação à deteção assistida por IA.

Apple

Uma vulnerabilidade CVE de 2024, já explorada · EXPLORADO

A Apple lançou, a 9 de novembro, as versões 27.2.1, 26.7.3 e 18.7.12 do iOS/iPadOS, além de três ramos do macOS. O facto de existirem três ramos simultâneos do iOS já é, por si só, um sinal — Lee Neely, da SANS: «Fico atento quando a Apple lança correções para mais de duas versões.»

O caso mais interessante é mais antigo. O CVE-2024-27834 — uma falha de contorno da autenticação por ponteiro com pontuação CVSS de 5,5, que a Apple corrigiu em maio de 2024 — foi registado no KEV a 4 de novembro. A Sekoia atribui a exploração a APT29 / Midnight Blizzard, levada a cabo através de sites legítimos comprometidos e de um ataque à cadeia de abastecimento do rastreador de SEO Plerdy, numa cadeia «zero-click» que culminava num infostealer destinado a roubar cookies. Uma falha de gravidade média com dois anos e meio, transformada em arma por um agente estatal.

O que isto significa se fizer envios Software

O padrão que caracteriza este mês não é o volume. É o facto de os dois acontecimentos mais significativos — a descoberta da única falha da Microsoft que foi explorada e a violação das firewalls da Palo Alto — terem ambos envolvido assistência de IA, em lados opostos, num intervalo de três semanas entre si. Um investigador utilizou-a para encontrar um bug que já estava a ser explorado. Um atacante utilizou-a para criar uma cadeia que permitiu o acesso não autorizado a dispositivos de produção.

E o que realmente levou à violação da segurança das pessoas foi o PHP: uma dependência, não um produto. Saber o que está dentro do seu produto e nos seus terminais antes que o CVE seja divulgado é o que realmente importa. É essa a cadeia que o Painel de Detecção e Aplicação de Patches da OESIS mapeia: qual a aplicação que está instalada, quais os CVEs que ela contém e se já existe um patch disponível.

Matriz de prioridades

Quatro faixas, começando pela mais grave. A classificação é determinada pela exposição e pela exploração, e não pelo CVSS — razão pela qual um valor de 6,5 aparece no topo e um de 10,0 fica no fim da lista. O âmbito abrange o software que a maioria das organizações efetivamente utiliza; o conjunto de dados completo inclui todas as 43 CVEs exploradas e todos os fornecedores envolvidos no ciclo.

P1 — AGORA Em 24 horas 19 de 43 explorados

Exploração confirmada em ambiente real — observada, não prevista. Ordenadas pelas mais recentes primeiro: as primeiras linhas correspondem ao que não foi abordado no último ciclo.

As linhas «Microsoft» e «Chrome» não apresentam valores de EPSS porque o modelo ainda não lhes tinha atribuído uma pontuação quando esta captura de ecrã foi feita. As restantes 24 vulnerabilidades CVE exploradas encontram-se em servidores multimédia, dispositivos de cópia de segurança, ferramentas de desenvolvimento e no lote de vulnerabilidades legadas de 8 de outubro; todas as 43 podem ser pesquisadas no Painel de Controlo de CVE do OPSWAT .

P2 — ESTA SEMANA No prazo de 72 horas 12 de 32

Windows, sem autenticação, acessíveis pela rede, sem interação do utilizador. Não é necessário clicar em nada para que estes fatores alterem o seu nível de exposição. Server funções em primeiro lugar — e note-se que tanto o DNS como o LDAP se encontram nos controladores de domínio.

Este mês não há coluna EPSS. No momento desta análise, o modelo tinha detetado apenas 1 dos 1 095 CVEs da Microsoft — em comparação com uma cobertura quase total em outubro, numa análise realizada praticamente à mesma hora. As pontuações do EPSS são divulgadas de acordo com o seu próprio calendário, e uma coluna com traços significaria baixo risco, em vez de ausência de dados. De qualquer forma, no que diz respeito à exploração confirmada, nunca foi o indicador de classificação adequado.

P3 — ESTE CICLO No prazo de 7 dias 8 CVEs

São críticas e exequíveis, mas cada uma requer uma condição prévia — uma credencial, uma sessão autenticada, um ficheiro entregue. A linha «Prova de Conceito» deve ser incluída aqui, na categoria de maturidade da exploração, independentemente da sua pontuação.

P4 — SEM MEDIDAS Apenas para informação 4 CVEs

Do lado do serviço. A Microsoft corrigiu estas falhas no seu próprio ambiente; não há nada que o cliente tenha de implementar. Realizam uma classificação CVSS bruta todos os meses — e é precisamente por isso que estão aqui listadas, em vez de serem deixadas de forma a poderem causar confusão.

O plano de 72 horas

O que a matriz de prioridades não revela.

O que se segue no calendário

Fontes

Primeiro, os avisos dos fornecedores principais.

1. Centro de Resposta de Segurança da Microsoft, documento CVRF de novembro de 2026, revisão de 11 de novembro de 2026 — lista canónica de CVE, CVSS atribuído pela Microsoft e vetores temporais.
2. Catálogo de vulnerabilidades conhecidas e exploradas da CISA e o FIRST EPSS.
3. Zero Day Initiative: Análise da atualização de segurança de novembro de 2026.
4. A Tenable, na «Patch Tuesday» de novembro de 2026, corrige 1 093 CVEs; Krebs on Security; Rapid7.
5. Avisos do PHP Group relativos aos CVE-2026-109618 e CVE-2026-109619; Rastreador de produtos «php2shell» do NCSC-NL; Artigo da SecurityWeek sobre as violações de segurança na Palo Alto.
6. Volexity sobre o UTA0576 e o Ivanti Connect Secure; alertas de segurança da Ivanti relativos aos CVE-2026-111357 e CVE-2026-118527.
7. Onapsis, Dia das Atualizações de Segurança da SAP, novembro de 2026.
8. Boletins de Segurança da Adobe (APSB26-191, -189 e outros).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; alertas da Barracuda; The Hacker News sobre o CVE-2024-27834 e o APT29.
11. VulnCheck sobre vulnerabilidades detetadas por IA e taxas de exploração.

Metodologia. O número total de alertas corresponde aos CVEs classificados pela Microsoft com uma classificação de Impacto no CVRF, excluindo 267 CVEs de terceiros republicados. Os valores CVSS e de maturidade de exploração da Microsoft são atribuídos pelo fornecedor a partir do CVRF; os valores CVSS de terceiros provêm do NVD ou do próprio fornecedor, nos casos em que a CISA não os publica. O EPSS é um modelo de previsão e é apenas apresentado, nunca utilizado para classificar explorações confirmadas — este mês, tinha classificado apenas um dos 1 095 CVEs da Microsoft à data da recolha de dados, razão pela qual está ausente das tabelas da Microsoft. A matriz de prioridades está limitada ao software empresarial convencional; o conjunto de dados subjacente abrange todas as 43 CVEs cuja exploração foi confirmada entre 8 de outubro e 10 de novembro, bem como todos os fornecedores incluídos no ciclo. O estado de exploração reflete o KEV da CISA e a confirmação do próprio fornecedor, e não alegações de terceiros.

Dados a 11 de novembro de 2026. O CISA KEV e o EPSS são atualizados continuamente, e a Microsoft revê o CVRF após o lançamento — os valores aqui apresentados refletem a revisão de 11 de novembro e o catálogo tal como se encontrava nessa manhã. As orientações de mitigação são gerais e baseiam-se nas características publicadas de cada vulnerabilidade; não substituem a realização de testes no seu próprio ambiente.