Pacote inclui 39 falhas críticas, três já divulgadas e riscos de execução remota no Windows.
A Microsoft publicou correções para 206 vulnerabilidades em seu portfólio — o maior pacote da sua história. São 39 falhas críticas, 167 importantes e três que já eram de conhecimento público no momento da divulgação. O risco mais grave está nas falhas que permitem execução de código à distância no Microsoft Windows, sem exigir login ou ação do usuário em determinados cenários.
A Microsoft liberou correções para 206 vulnerabilidades de uma vez — o maior volume registrado em um único ciclo. Do total, 39 foram classificadas como críticas e 167 como importantes. A lista abrange 63 falhas de elevação de privilégio, 56 de execução remota de código, 30 de vazamento de informação, 27 de falsificação, 20 de bypass de recurso de segurança, sete de negação de serviço e três de alteração indevida.
Três falhas já haviam sido tornadas públicas antes de as correções chegarem. Isso não confirma exploração ativa, mas muda o cálculo de urgência: com detalhes técnicos circulando, o tempo disponível para aplicar os patches antes de um ataque real se torna muito menor.
A CVE-2026-45657, no Windows Kernel, recebeu nota 9.8 — o teto da escala de severidade. Na prática, ela pode permitir que um atacante envie tráfego de rede especialmente preparado contra um Microsoft Windows vulnerável e execute comandos com alto nível de controle, sem precisar de credenciais e sem depender de qualquer ação da vítima.
Outras duas falhas críticas completam o grupo de maior risco: a CVE-2026-47291, no Windows HTTP.sys, e a CVE-2026-44815, no Windows DHCP Client, ambas também com nota 9.8. A CVE-2026-44815 merece atenção especial em ambientes corporativos, pois pode transformar tráfego DHCP malicioso em comprometimento direto do sistema — sem qualquer intervenção do usuário no processo.
Explorações desse tipo raramente deixam rastros visíveis para usuários comuns. A detecção fica a cargo das equipes técnicas, que devem priorizar investigação quando identificarem:
A ação mais importante é aplicar as atualizações da Microsoft conforme a criticidade de cada ativo. Comece pelos sistemas expostos à internet, servidores essenciais, máquinas com funções de rede e ativos que processam ou armazenam dados sensíveis.
Uma atualização em massa sem critério pode criar outros problemas. O caminho mais seguro é testar em um grupo pequeno de máquinas, validar as aplicações críticas do negócio e só então expandir. Onde a atualização imediata não for viável, reduza a exposição de rede, intensifique o monitoramento de tráfego e formalize exceções com prazo definido de correção.
A fonte informa que três falhas estavam divulgadas publicamente no momento do lançamento. Exploração ativa confirmada não foi mencionada — mas a exposição pública dos detalhes aumenta a urgência da correção.
Porque abre caminho para que um atacante rode comandos em um Microsoft Windows vulnerável à distância. Em alguns dos casos descritos, isso ocorre sem necessidade de login e sem qualquer interação do usuário — o que torna o ataque silencioso e difícil de detectar a tempo.
Sim. O pacote contempla mais de 350 correções do Google Chromium, que é a base do Microsoft Edge. Manter o Edge atualizado faz parte do mesmo ciclo de correções e não deve ser tratado como item separado.
A LC SEC ajuda sua empresa a priorizar vulnerabilidades, validar exposição real e estruturar um plano seguro de correção para ambientes Microsoft Windows e Microsoft Edge.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://thehackernews.com/2026/06/microsoft-patches-record-206-flaws.html