A atualização de terça-feira corrigiu 622 falhas. Mas isso não resolveu o problema do movimento lateral.
A atualização de segurança da Microsoft de julho de 2026 estabeleceu um novo recorde. A empresa corrigiu 622 falhas, triplicando o recorde anterior de 200 corrigidas apenas um mês antes.
Duas já estavam sob ataque, e a Microsoft divulgou ambas como vulnerabilidades de dia zero:
- CVE-2026-56155 no Active Directory Federation Services. Um atacante que já tenha acesso local a um servidor AD FS pode obter privilégios de administrador. A Microsoft deu uma nota de 7,8 .
- CVE-2026-56164 no SharePoint Server. Um atacante não autenticado pode escalar privilégios na rede, sem necessidade de credenciais. A Microsoft classificou o problema com 5,3, ou seja, Moderado, e a CISA confirmou a exploração ativa no mesmo dia.
O volume de vulnerabilidades é apenas um sintoma de um problema maior. Com o avanço do Mythos e de outros sistemas de IA de ponta, a IA está ajudando as equipes de segurança a encontrar falhas ocultas mais rapidamente e em uma escala muito maior. Cada uma dessas falhas será corrigida eventualmente. Mas aplicar patches não resolve o problema de um atacante que já está dentro da rede.
A Microsoft alertou que esse progresso aumentará as exigências operacionais das equipes de segurança. Mais falhas encontradas significam mais atualizações para avaliar, testar, classificar e implementar.
Encontrar vulnerabilidades mais rapidamente é, sem dúvida, bom para a segurança. Mas isso não significa que as equipes consigam corrigir todos os sistemas na mesma velocidade de processamento.
“Os ciclos de atualização existentes já não acompanhavam o ritmo de descoberta e exploração de vulnerabilidades antes do Mythos”, disse Michael Adjei, diretor de engenharia de sistemas da Illumio. “Com certeza não será o mesmo agora.”
A aplicação de patches pode fechar o ponto de entrada, mas o verdadeiro risco começa depois
os atacantes ganham acesso — quando exploram vulnerabilidades
cadeia, roubam credenciais, escalam privilégios, se movimentam lateralmente e alcançam sistemas críticos.Essa é uma distinção crucial. Uma violação é definida não pela falha que um invasor usou para entrar, mas sim pelo quão longe ele chegou depois disso. A tarefa de remendar é uma corrida que os defensores não podem vencer, e vencê-la não mudaria o resultado de qualquer maneira. A única variável que os defensores realmente controlam é a distância que um intruso pode percorrer depois de entrar. E essa distância é definida pela visibilidade, segmentação e contenção.
A janela de atualização está se fechando.
Como abordamos em A Corrida para Impedir que a IA Transforme Vulnerabilidades em Invasões, os atacantes têm muito menos tempo para esperar e os defensores têm muito menos tempo para responder.
O Relógio do Dia Zero mostra que o tempo médio entre a divulgação e a exploração confirmada caiu de cerca de 10 meses em 2021 para apenas três horas em 2026.
Atualizações mais rápidas ainda são importantes porque reduzem a janela de oportunidade. Mas isso não resolve o problema.
As equipes devem priorizar as vulnerabilidades exploradas conhecidas, automatizar sempre que possível e reduzir os ciclos de teste e aprovação para atualizações urgentes.
Mas o uso de patches tem seus limites.
“Muitas organizações têm dívidas antigas”, disse Adjei. “Eles não podem simplesmente desligar sistemas críticos para aplicar uma correção.” A aplicação de patches requer aquisição, testes de regressão, verificações de integridade, implantação e validação.”
Essas etapas levam tempo. Sistemas críticos nem sempre podem ficar offline, e as atualizações precisam ser testadas antes de chegarem à produção. Acelerar a correção de bugs não é a solução completa.
Isso cria uma lacuna inevitável entre o dia em que uma atualização é enviada e o dia em que é implementada.
Quando os atacantes chegarem primeiro
O alerta da CISA em julho incluía uma vulnerabilidade já explorada no Microsoft SharePoint, o que levanta uma grande questão: o que acontece quando um invasor atinge o sistema vulnerável antes que uma correção seja implementada?
Uma série de ataques ocorridos um ano antes, a campanha ToolShell SharePoint de julho de 2025, demonstra o que pode acontecer.
atacantes exploraram falhas do SharePoint em servidores locais expostos
internet.A Microsoft identificou três grupos de ameaças cibernéticas baseados na China que exploram as vulnerabilidades:
- Linen Typhoon: Um grupo de espionagem apoiado pelo Estado chinês que usou as falhas do SharePoint para obter acesso inicial. Historicamente, o grupo tem se baseado em vulnerabilidades já existentes para comprometer organizações e roubar propriedade intelectual .
- Violet Typhoon: Um grupo de espionagem apoiado pelo Estado chinês que explorou as falhas do SharePoint contra servidores expostos. O grupo é conhecido por escanear infraestruturas expostas à internet, explorar vulnerabilidades e instalar web shells .
- Storm-2603: Um agente baseado na China que explorou as falhas do SharePoint e tentou roubar chaves de máquina do SharePoint. A Microsoft observou o grupo usando o acesso para implantar o ransomware Warlock e já havia visto anteriormente o mesmo grupo usar o LockBit.
Os relatórios da Microsoft mostram que a exploração não parou no servidor SharePoint vulnerável. O Storm-2603 utilizou seu acesso para descoberta, roubo de credenciais, movimentação lateral com ferramentas como PsExec e Impacket e, por fim, para a implantação de ransomware.
A campanha ToolShell demonstra por que explorar uma vulnerabilidade é apenas o começo. As falhas deram aos atacantes uma brecha de acesso. O que eles fizeram depois de obterem acesso determinou o alcance do ataque.
Como uma vulnerabilidade se transforma em acesso
Uma vulnerabilidade nada mais é do que uma fraqueza. Os atacantes ainda precisam encontrar uma maneira de usá-lo.
Um atacante encontra uma falha e cria ou adapta um exploit. Se a exploração funcionar, ela poderá permitir que o atacante execute código dentro do programa vulnerável. Esse código pode abrir uma conexão remota, dando ao atacante o controle do sistema. A partir daí, o atacante pode instalar malware, elevar privilégios ou se preparar para avançar ainda mais no ambiente.
Nem todos os exploits seguem exatamente esses passos. Alguns ataques utilizam credenciais roubadas, ferramentas integradas ou comandos diretos em vez de shellcode e shell reverso. Mas o objetivo é o mesmo: transformar uma falha de software em acesso.
“Há duas coisas principais que um atacante precisa fazer”, disse Adjei. “Primeiro, explore uma vulnerabilidade para ganhar terreno.” Em segundo lugar, use essa posição inicial para se expandir pelo ambiente e alcançar um objetivo.”
Um caminho comum se parece com isto:
- Descubra a vulnerabilidade. Os atacantes encontram vulnerabilidades por meio de engenharia reversa, fuzzing ou análise de código e dependências .
- Explore o programa vulnerável. Eles usam ou adaptam uma vulnerabilidade para tirar proveito da falha. Isso pode permitir a execução remota de código, burlar controles de segurança, elevar privilégios ou expor informações .
- Assuma o controle do fluxo do programa. Em alguns ataques, o shellcode ou outro código malicioso permite que o atacante controle o funcionamento do programa vulnerável .
- Estabelecer acesso remoto. O atacante pode abrir um shell reverso ou outra conexão com a infraestrutura do invasor, obtendo assim o controle remoto do sistema comprometido .
- Implantar malware ou exploits adicionais. Com o acesso estabelecido, o atacante pode instalar malware, elevar seus privilégios e se preparar para movimentação lateral.
A conquista inicial não é o objetivo final.
Entrar não significa que os atacantes tenham alcançado o que pretendiam.
Eles começam aprendendo como o ambiente funciona. Eles podem procurar por usuários, credenciais, sistemas, serviços e conexões de rede. Essa descoberta os ajuda a encontrar um caminho além do primeiro sistema comprometido.
Os atacantes podem então se movimentar lateralmente com credenciais roubadas, protocolos confiáveis, ferramentas de administração remota ou mais vulnerabilidades. Eles também podem estabelecer um sistema de comando e controle para manter o acesso e direcionar o ataque.
O objetivo final pode ser roubo de dados, interrupção, controle de domínio ou ransomware.
“Nesse ponto, os defensores devem presumir que houve violação da lei”, disse Adjei. “Os atacantes raramente conseguem atingir diretamente o sistema que desejam.”
“Eles podem comprometer a interface de um site ou um endpoint, mas seu alvo real pode ser um banco de dados crítico, um servidor de laboratório, um aplicativo de alto valor ou um sistema conectado a algo mais útil.”
O risco reside no que os atacantes podem alcançar em seguida.
Adjei vê uma diferença fundamental entre uma vulnerabilidade e uma violação de segurança.
“A vulnerabilidade é o meio de entrada; o objetivo é o que eles podem alcançar em seguida”, disse ele.
É por isso que as pontuações de gravidade e o status de correção são indicadores inadequados. A classificação CVSS descreve uma falha isoladamente; ela não diz nada sobre se o sistema vulnerável está exposto, a que ele pode se conectar ou quais ativos críticos estão a um salto de distância. Essas são as questões que determinam se uma intrusão permanece um incidente ou se torna uma violação de segurança.
O remendo corrige a falha. O controle da brecha impede a propagação.
A aplicação de patches continua sendo essencial, mas nem sempre é possível fazê-la antes que os invasores ajam — e não pode remover o acesso que eles já obtiveram.
É aí que a visibilidade, a segmentação e o controle de violações se tornam importantes. A visibilidade mostra como um sistema comprometido se conecta ao restante do ambiente. A segmentação limita caminhos desnecessários. O controle da violação ajuda a impedir que os invasores avancem ainda mais.
“Isso não significa que a aplicação de patches seja irrelevante”, disse Adjei. “Significa reduzir a capacidade de um invasor explorar uma brecha e se movimentar pelo ambiente enquanto as correções estão em andamento — ou quando uma vulnerabilidade ainda é desconhecida.”
Saiba por que a visibilidade e a segmentação são essenciais para conter violações de segurança. Agende uma demonstração de contenção de violação hoje mesmo.
.webp)
