As gigantes da tecnologia Microsoft e Adobe iniciaram o ano com um significativo volume de atualizações de segurança para seus produtos. Em janeiro, ambas as empresas lançaram diversos boletins destinados a corrigir uma vasta gama de vulnerabilidades, incluindo falhas críticas e uma exploração já em curso.
Este esforço de correção, que tradicionalmente ocorre na segunda terça-feira do mês, visa proteger milhões de usuários e organizações em todo o mundo contra potenciais ameaças cibernéticas. O pacote deste mês destaca a contínua batalha contra softwares maliciosos e ataques sofisticados.
A atenção dos especialistas se volta para a correção de vulnerabilidades que, se não endereçadas, poderiam comprometer a integridade dos sistemas. A rápida aplicação desses patches é fundamental para mitigar os riscos e garantir a segurança digital.
Adobe: correções abrangentes e prioridades
A Adobe divulgou 11 boletins neste mês, que endereçam um total de 25 vulnerabilidades CVE exclusivas. Os produtos afetados incluem Dreamweaver, InDesign, Illustrator, InCopy, Bridge, a suíte Substance 3D (Modeler, Stager, Painter, Sampler, Designer) e ColdFusion, cobrindo uma vasta gama de ferramentas criativas e plataformas de desenvolvimento.
Entre as atualizações, a correção para o ColdFusion se destaca por ser classificada como Prioridade 1, embora não houvesse conhecimento público ou ataques ativos no momento do lançamento. Este patch visa uma única falha de execução de código, sublinhando a gravidade potencial da vulnerabilidade caso fosse explorada.
O Dreamweaver recebeu correções para cinco vulnerabilidades de execução de código classificadas como Críticas, enquanto o InDesign também apresentou cinco CVEs, com quatro delas igualmente categorizadas como Críticas. A suíte Substance 3D, embora com múltiplas correções, teve apenas algumas classificadas como execução de código arbitrário crítico, como no Substance 3D Stager e Painter.
A maioria das atualizações da Adobe, com exceção do ColdFusion, foi listada com prioridade de implantação 3, indicando que, embora importantes, não estavam sob ataque ativo nem eram de conhecimento público no momento de sua divulgação.
Pacote robusto da Microsoft para o ano
A Microsoft começou o ano com um lançamento massivo, revelando 112 novas vulnerabilidades (CVEs) em seus sistemas e componentes, incluindo Windows, Office, Azure, Microsoft Edge (baseado no Chromium), SharePoint Server, SQL Server, SMB Server e Windows Management Services. Com as atualizações de terceiros do Chromium, o total de CVEs sobe para 114.
Este volume elevado de patches em janeiro não é incomum, refletindo uma prática comum de fornecedores que adiam certas atualizações durante o período de festas de fim de ano. Tal estratégia busca evitar interrupções significativas caso as correções causem problemas de compatibilidade ou falhas críticas durante um período de menor disponibilidade de equipes de suporte.
Das correções lançadas, oito foram classificadas como Críticas, enquanto as demais foram categorizadas como Importantes. A diversidade das vulnerabilidades demonstra a complexidade da manutenção da segurança em um ecossistema de software tão amplo e interconectado como o da Microsoft.
Vulnerabilidade explorada ativamente: alerta urgente
Um dos destaques do pacote da Microsoft é uma vulnerabilidade que está sob ataque ativo: a CVE-2026-20805, uma falha de divulgação de informações no Gerenciador de Janelas da Área de Trabalho. Embora incomum para uma falha de divulgação de informações ser explorada em tempo real, essa vulnerabilidade permite o vazamento de endereços de seções de portas ALPC remotas.
Essa exposição de informações é crucial, pois permite que atacantes utilizem esses endereços como um passo preliminar em uma cadeia de exploração mais ampla. Geralmente, o objetivo final é obter a execução de código arbitrário (RCE), tornando explorações mais confiáveis e eficientes. A Microsoft não detalhou a abrangência das explorações, mas a natureza da falha sugere um risco considerável para os sistemas não corrigidos.
Falhas notáveis no Microsoft Office e outros sistemas
O Microsoft Office foi novamente alvo de vulnerabilidades, com as CVE-2026-20952 e CVE-2026-20953 destacando-se como falhas de execução remota de código (RCE). Estas vulnerabilidades são preocupantes devido aos vetores de exploração que envolvem o Painel de Visualização, permitindo ataques sem interação direta do usuário.
Embora ainda não haja registro de explorações ativas dessas falhas específicas, a recorrência de vulnerabilidades no Painel de Visualização do Office indica uma área persistente de risco. Administradores podem mitigar o perigo desativando o Painel de Visualização, uma medida preventiva que, embora não seja uma correção definitiva, impede a exploração através desse vetor.
Outra falha relevante é a CVE-2026-21265, uma vulnerabilidade de bypass do recurso de segurança Secure Boot devido à expiração de certificado. Embora a chance de exploração seja baixa, o potencial de problemas para os administradores é alto. A não atualização dos certificados pode impedir que dispositivos que utilizam o Secure Boot recebam futuras atualizações de segurança ou confiem em novos carregadores de inicialização, expondo-os a riscos futuros.
Análise aprofundada das CVEs importantes
A lista completa de CVEs da Microsoft para janeiro de 2026 abrange uma vasta gama de problemas. Entre as falhas críticas, além das já mencionadas no Office, destacam-se vulnerabilidades de execução remota de código no Microsoft Excel e Word, elevação de privilégios no componente gráfico do Windows e no Serviço de Subsistema de Autoridade de Segurança Local (LSASS), além de uma falha crítica de elevação de privilégios no Enclave de Segurança Baseada em Virtualização (VBS) do Windows.
O VBS, um recurso de segurança mais recente do Windows, utiliza Níveis de Confiança Virtual (VTLs) para gerenciar privilégios. A CVE-2026-20876 permite a elevação de privilégios para o VTL2, atualmente o nível mais alto, o que representa um risco significativo. Embora a Microsoft a tenha classificado com CVSS 6.7, a complexidade e o escopo da elevação entre VTLs levam muitos especialistas a considerarem uma pontuação efetiva de 8.2 (Alta).
As vulnerabilidades importantes se espalham por quase todos os serviços e componentes do Windows e Azure, incluindo elevação de privilégios em drivers de modem, no agente de máquina conectada do Azure, no serviço de gerenciamento de acesso a capacidades (camsvc), e falhas de divulgação de informações em vários componentes. Também há vulnerabilidades de execução remota de código no SharePoint Server, SQL Server, e nos Serviços de Implantação do Windows, além de diversas falhas de elevação de privilégios nos Serviços de Gerenciamento do Windows e no kernel do sistema operacional. Esta ampla distribuição ressalta a necessidade de uma estratégia de patching robusta e contínua por parte das organizações.
Recomendações para administradores de TI
Diante do extenso volume de atualizações de segurança divulgadas por Adobe e Microsoft, administradores de sistemas e equipes de TI devem priorizar a implementação desses patches. A presença de uma vulnerabilidade explorada ativamente na Microsoft, juntamente com diversas outras classificadas como críticas, torna a ação imediata imperativa para proteger infraestruturas digitais.
É fundamental que as organizações revisem a lista completa de CVEs e avaliem o impacto potencial em seus ambientes específicos. Testes em ambientes controlados antes da implantação em produção são uma prática recomendada para garantir a compatibilidade e evitar interrupções operacionais. Além disso, a desativação de recursos como o Painel de Visualização em ambientes de alto risco pode oferecer uma camada extra de proteção contra explorações de dia zero ou ainda desconhecidas.
A vigilância contínua sobre novas ameaças e a manutenção de sistemas atualizados são pilares essenciais na defesa contra ataques cibernéticos. As atualizações de janeiro de 2026 servem como um lembrete contundente da paisagem de ameaças em constante evolução e da necessidade de resiliência e proatividade na segurança cibernética.