Microsoft Credita a Suas Próprias Ferramentas de IA a Alta no Número de Vulnerabilidades

Resumo

O Patch Tuesday de setembro de 2026 da Microsoft — seu lote mensal programado de correções de segurança — fechou entre 966 e 974 falhas de segurança próprias, dependendo de qual empresa de pesquisa em segurança fez a contagem, além de dezenas de outras de outros fornecedores corrigidas no mesmo dia. Duas das falhas corrigidas já estavam sendo usadas por atacantes antes de a Microsoft lançar o reparo. A equipe de segurança da Microsoft diz que suas próprias ferramentas de varredura baseadas em IA estão encontrando mais bugs, mais rápido, do que a revisão manual de código jamais fez, e espera que isso continue elevando os totais mensais de correções. Pesquisadores independentes concordam que o volume está subindo, mas discordam sobre o que isso significa: um deles alerta que mais correções não significam automaticamente mais risco real, outro diz que se trata majoritariamente de um antigo estoque de bugs difíceis de achar finalmente sendo liquidado.

O que aconteceu

Quantas falhas a Microsoft de fato corrigiu neste mês depende de quem está contando. A BleepingComputer colocou o número em 966, incluindo 105 classificadas como críticas. A Qualys contou 974 vulnerabilidades da Microsoft, 113 delas críticas e 860 classificadas como importantes, e registrou separadamente 170 vulnerabilidades da Adobe, 50 delas críticas, corrigidas no mesmo dia. A CrowdStrike contou 972 falhas no total endereçadas, com 113 críticas. O The Hacker News, citando análise do programa de pesquisa de vulnerabilidades da Trend Micro, a Zero Day Initiative, colocou o total da Microsoft em 974 mais 25 de outros fornecedores — 999 falhas ao todo.

Duas das correções deste mês eram para falhas que atacantes já vinham explorando antes de a Microsoft lançar um reparo — o que o setor chama de zero-days. Uma, catalogada como CVE-2026-81963, permitia que um atacante que já tivesse acesso limitado a uma máquina se concedesse controle total através de uma falha no próprio mecanismo do Windows Update. A outra, CVE-2026-85880, era um bug de corrupção de memória em um componente do Windows que programas usam para se comunicar entre si na mesma máquina, o que também permitia que um atacante escalasse seu nível de acesso.

Em termos técnicos, a Qualys detalhou o lançamento por como cada falha poderia ser explorada: 253 falhas (82 críticas) permitiriam que um atacante executasse código próprio na máquina de outra pessoa remotamente, 438 (27 críticas) permitiriam que um atacante já presente obtivesse acesso de nível mais alto, 173 (2 críticas) poderiam vazar informação, 56 poderiam travar ou interromper um sistema, 16 (1 crítica) permitiriam que um atacante se passasse por algo confiável, e 19 (1 crítica) poderiam contornar uma verificação de segurança existente.

A própria explicação da Microsoft se concentra em ferramentas que ela mesma construiu, não em atacantes externos. Tom Gallagher, vice-presidente de Engenharia do Microsoft Security Response Center, escreveu em abril de 2026 que a varredura baseada em IA “pode descobrir mais problemas, mais rapidamente, em uma superfície mais ampla do que os métodos anteriores”. Ele acrescentou que “como esses sistemas podem trabalhar 24 horas por dia, 7 dias por semana, limitados apenas pelos recursos disponíveis, vamos descobrir um volume e uma diversidade maiores de vulnerabilidades”. Um exemplo: Taesoo Kim, vice-presidente de Segurança Agêntica da Microsoft, descreveu em maio de 2026 um sistema batizado de MDASH que orquestrou mais de 100 agentes de IA especializados para propor bugs candidatos e depois checar o trabalho uns dos outros antes de reportá-los, encontrando 16 vulnerabilidades — quatro delas falhas críticas de execução remota de código — em código de rede e autenticação do Windows.

Separadamente, Jeremy Chapman, diretor da equipe do Microsoft 365, disse em setembro de 2026 que “se você não está aplicando as atualizações críticas de qualidade com correções de segurança até algumas semanas depois de terem sido lançadas, isso é tempo de sobra para atacantes usando IA encontrarem e explorarem brechas de segurança conhecidas”.

O que isso significa (e o que não significa)

O enquadramento público da Microsoft transforma um número alto de correções em uma história sobre seu próprio investimento em segurança: uma varredura assistida por IA melhor está pegando mais bugs antes que qualquer outra pessoa consiga. O próprio Microsoft Security Response Center faz esse argumento, e é um enquadramento que serve à Microsoft — um número crescente de correções poderia igualmente ser lido como sinal de falhas acumuladas em código já existente que uma varredura melhor está agora revelando. As empresas de segurança citadas junto a este lançamento — Tenable e Fortra entre elas, além de Qualys e CrowdStrike — vendem produtos de priorização de vulnerabilidades, e a urgência em torno de contagens de correções que soam recordes também é bom para o negócio delas.

Esses mesmos pesquisadores contestam a ideia de que um número maior é automaticamente mais perigoso. Satnam Narang, da Tenable, disse que “a descoberta de vulnerabilidades assistida por IA em 2026 está criando palheiros maiores, mas não está achando mais agulhas”, argumentando que a quantidade de falhas capazes de afetar de fato a maioria das organizações permanece baixa mesmo com o total bruto subindo. Tyler Reguly, da Fortra, ofereceu uma explicação inteiramente diferente: “eventualmente, todas essas vulnerabilidades antigas e difíceis de encontrar serão corrigidas, e o Patch Tuesday vai voltar ao seu ritmo típico”, enquadrando isso como a liquidação temporária de um estoque acumulado, não como um novo normal.

O que não se segue de nada disso é que o número alto de setembro reflita um aumento mensurado em ataques baseados em IA contra a Microsoft ou seus clientes. A explicação de IA que a própria Microsoft dá é sobre suas ferramentas internas de varredura encontrando bugs antigos mais rápido — uma alegação distinta de qualquer pico documentado na atividade de atacantes, e que nem a declaração de Gallagher nem a de Chapman estabelecem.

O que ainda não sabemos

O tamanho exato deste lançamento não pode ser fixado em um único número. Os levantamentos independentes divergem em até 8 no total exclusivo da Microsoft — 966 a 974 — e em até 8 na contagem de críticas, aparentemente porque usam regras diferentes para o que conta como uma falha distinta e se Extended Security Updates ou avisos de fornecedores fora da Microsoft entram na conta. Nenhuma fonte desta apuração conseguiu confirmar de forma independente um único total autoritativo.

Também não sabemos que fatia das correções deste mês veio de ferramentas assistidas por IA como o MDASH em vez de pesquisa manual tradicional. Os únicos resultados do MDASH divulgados pela Microsoft até agora são as 16 vulnerabilidades de uma varredura específica — uma fração pequena de qualquer um dos totais acima.

Nenhuma fonte resolve, com dados, se Narang ou Reguly tem a leitura mais precisa sobre o que o aumento nas contagens de correções significa para o risco real. E nenhuma fonte desta apuração aborda como as organizações devem testar e implantar cerca de mil correções em um único ciclo mensal, ou que risco esse próprio ritmo de implantação cria.