João Martins 
Microsoft — a actualização de setembro está a impor uma mudança de urgência nas rotinas de gestão de segurança: 963 CVEs publicados, 106 com classificação crítica e duas vulnerabilidades já exploradas (CVE-2026-81963 e CVE-2026-85880). A conclusão é clara para equipas de TI: planear um Patch Now para Windows, Office e SQL Server e seguir os testes de prontidão recomendados antes de alargar a distribuição.
Volume, exploração activa e mensagens operacionais
O conjunto inclui 963 CVEs, com 106 críticos, e duas entradas confirmadas como exploradas em ambiente real: CVE-2026-81963 (Windows Update Stack) e CVE-2026-85880 (Advanced Local Procedure Call).
Além disso, 726 CVEs afetam o Windows, 77 deles críticos, representando três quartos do volume total. A orientação operacional é organizar um Patch Now para servidores de resolução, DHCP e controladores de domínio, colocando a pilha biométrica e os pontos de exposição de rede no topo da fila.
São 963 CVEs publicados nesta vaga, 106 críticos e duas falhas já exploradas: CVE-2026-81963 e CVE-2026-85880.
Impacto por família de produto e prioridades de teste
Office soma 137 CVEs — 24 críticos — com grande presença no canal Click-to-Run: cerca de 105 entradas atingem Microsoft 365 Apps e variantes LTSC. SQL Server incorpora 62 CVEs, quatro críticos, pelo que o ambiente de bases de dados entra no calendário Patch Now.
O ciclo traz também prazos de fim de vida a vigorar em outubro e novembro, nomeadamente a retirada do Office 2021 e mudanças de suporte em versões do Windows e Windows Server, circunstância que exige atenção a janelas de manutenção e testes de compatibilidade.
O que acha? Acha que a sua organização está preparada para um Patch Now desta escala? Para acompanhar mais, aceda à nossa editoria.
Perguntas Frequentes
O que inclui a actualização de setembro de 2026 da Microsoft e por que é urgente aplicá-la?
A actualização de setembro de 2026 da Microsoft inclui 963 CVEs no total, 106 classificados como críticos e duas falhas já exploradas (CVE-2026-81963 e CVE-2026-85880). Este volume e a exploração activa tornam urgente colocar Windows, Office e SQL Server em esquemas Patch Now para reduzir risco de compromisso em servidores e estações de trabalho.
Quais produtos da Microsoft devem ser priorizados pelas equipas de TI nesta vaga?
Windows, Office e SQL Server são as prioridades claras: o Windows soma 726 CVEs (77 críticos), o Office 137 CVEs (24 críticos) e o SQL Server 62 CVEs (4 críticos). A recomendação operacional é patchar resolvers e DHCP/DNS primeiro, tratar SQL Server em Patch Now e deixar Exchange para um agendamento standard de manutenção.
Quais são as falhas já exploradas nesta vaga e onde actuam?
As falhas já exploradas identificadas são CVE-2026-81963, numa componente do Windows Update Stack, e CVE-2026-85880, no Advanced Local Procedure Call (ALPC). Ambas estão marcadas como exploração activa, pelo que a actualização imediata desses componentes é prioritária para mitigar ataques direccionados.
Existem problemas conhecidos após a aplicação destes patches?
Sim. Foram reportados problemas trazidos de agosto e resolvidos nesta vaga, como falhas de arranque do Microsoft Teams e do novo Outlook em dispositivos ARM (corrigidas pelo KB5124008), fundos de ambiente a passarem para preto e a redefinição de cursores em instalações não inglesas, além de uma notificação do Defender que indica que está desligado quando não está, confirmada a 28 de agosto.
Como devem as equipas testar antes de distribuir estes patches em produção?
As equipas de TI devem priorizar testes em impressão (20 das 55 flags de alto risco), tipografias e renderização, dispositivos USB e associação de periféricos, sessões Remote Desktop com redirecionamento activado, e armazenamento em hardware recuperável, porque alterações no caminho de arranque podem tornar uma máquina não recuperável durante testes.
