Patch

Em 10 de junho de 2026, a Microsoft lançou atualizações para corrigir um total recorde de 206 vulnerabilidades de segurança em seu portfólio de software. Dentre essas falhas, 39 foram classificadas como Críticas e 167 como Importantes. As vulnerabilidades incluem problemas de escalonamento de privilégios, execução remota de código e divulgação de informações. A falha mais crítica, CVE-2026-45657, com uma pontuação CVSS de 9.8, permite que atacantes executem código remotamente ao enviar tráfego de rede malicioso para sistemas vulneráveis. Outras falhas significativas incluem CVE-2026-47291 e CVE-2026-44815, ambas com pontuação 9.8, que podem resultar em execução de código não autorizado. Além disso, a Microsoft abordou vulnerabilidades relacionadas ao BitLocker e problemas de negação de serviço. O aumento no número de correções é atribuído ao uso de inteligência artificial na descoberta de vulnerabilidades, uma tendência que deve continuar. Especialistas alertam que a rápida liberação de patches pode levantar preocupações sobre a qualidade das correções. As atualizações são essenciais para proteger sistemas, especialmente aqueles que lidam com tráfego DHCP, que é crítico para a infraestrutura de rede.

A SAP lançou correções para 15 vulnerabilidades em seu pacote de patches de segurança de junho de 2026, incluindo quatro falhas de gravidade crítica que afetam o SAP NetWeaver e o SAP Commerce Cloud. O NetWeaver é uma plataforma central de aplicações e middleware da SAP, enquanto o Commerce Cloud é uma plataforma de e-commerce para empresas. Entre as vulnerabilidades críticas estão: CVE-2026-44748, que permite a bypass de autenticação em ambientes SAML; CVE-2026-27671, uma falha de corrupção de memória que pode ser explorada sem autenticação; CVE-2026-22732, uma vulnerabilidade relacionada ao Spring Security; e CVE-2026-40128, que permite a travessia de diretórios. A SAP também abordou duas vulnerabilidades de alta gravidade e diversas questões de injeção SQL, XSS e bypass de autorização. As organizações que utilizam os produtos afetados devem priorizar a aplicação dos patches, especialmente as falhas CVE-2026-44748 e CVE-2026-27671, que podem ter um impacto significativo nos ambientes empresariais.

A plataforma Gogs, uma alternativa ao GitHub Enterprise, corrigiu uma vulnerabilidade crítica de injeção de argumentos que poderia permitir que atacantes autenticados acessassem repositórios, incluindo os privados. A falha, que ainda não possui um ID CVE, afeta todas as versões do Gogs até a 0.14.2 e 0.15.0+dev. De acordo com o pesquisador de segurança Jonah Burgess, a configuração padrão do Gogs, que permite registro aberto de usuários e sem limite na criação de repositórios, facilita a exploração da vulnerabilidade. Um atacante autenticado poderia criar uma conta, um repositório e ativar a mesclagem rebase, permitindo a execução de um ataque sem interação de outros usuários. A Gogs lançou a versão 0.14.3 em 7 de junho para corrigir a falha e recomenda que todos os usuários atualizem imediatamente. Para aqueles que não podem aplicar o patch, a Rapid7 sugere medidas de mitigação, como restringir o registro de usuários e a criação de repositórios. A falha é semelhante a outras já corrigidas pela equipe de segurança do Gogs, mas afeta um caminho de código diferente que não havia sido abordado anteriormente.

A Trend Micro anunciou a liberação de um patch crítico para sua plataforma Apex Central, que é uma solução de gerenciamento de segurança centralizada para empresas. A vulnerabilidade identificada como CVE-2025-69258 permitia a injeção de DLLs não autenticadas e a execução remota de código, com uma gravidade avaliada em 9.8/10. Essa falha poderia ser explorada por atacantes remotos sem qualquer interação do usuário, permitindo que códigos maliciosos fossem executados com privilégios elevados. Além da CVE-2025-69258, o patch também corrige outras duas vulnerabilidades, CVE-2025-69259 e CVE-2025-69260, que também podem ser exploradas por atacantes não autenticados. A Trend Micro recomenda que as empresas apliquem o patch imediatamente, uma vez que medidas temporárias, como desconectar sistemas da internet, não são soluções definitivas. A empresa também sugere que os clientes revisem o acesso remoto a sistemas críticos e atualizem suas políticas de segurança de perímetro.

Na última terça-feira, a Microsoft lançou patches para 63 novas vulnerabilidades de segurança em seus softwares, incluindo uma que está sendo ativamente explorada. Dentre as falhas, quatro são classificadas como Críticas e 59 como Importantes. A vulnerabilidade zero-day CVE-2025-62215, com um score CVSS de 7.0, é uma falha de escalonamento de privilégios no Windows Kernel, permitindo que um atacante autorizado eleve seus privilégios locais. Para explorar essa falha, o invasor precisa já ter acesso ao sistema e utilizar um aplicativo especialmente elaborado para provocar uma condição de corrida. Além disso, foram corrigidas falhas críticas relacionadas a buffer overflow que podem resultar em execução remota de código. A vulnerabilidade no Kerberos (CVE-2025-60704), que permite a um atacante assumir o controle de um domínio, também é preocupante, pois pode ser explorada por quem já possui acesso inicial ao sistema. As atualizações são essenciais para proteger as organizações, especialmente aquelas que utilizam Active Directory. É fundamental que as empresas brasileiras realizem a atualização de seus sistemas para mitigar esses riscos.