patch tuesdayatualização windows empresacomo atualizar windows na empresazero-day microsoft

Patch Tuesday: como organizar as atualizações Microsoft na empresa

Todo mês a Microsoft corrige falhas de segurança no Windows e no Office, e parte delas já está sendo usada por criminosos. A empresa que atualiza tarde fica com portas abertas conhecidas. A saída é uma rotina mensal simples: saber o que tem, testar em poucas máquinas, instalar em dias e conferir.

Por Equipe CyberArmor25 de março de 2026

O que é o Patch Tuesday?

Patch Tuesday é o apelido da atualização mensal de segurança da Microsoft. Segundo a documentação do ciclo de atualizações do Windows, ela sai na segunda terça-feira de cada mês, normalmente às 10h no horário do Pacífico, que cai à tarde no horário de Brasília. A Microsoft também chama esse pacote de "B week release" ou atualização cumulativa.

Cumulativa quer dizer que cada pacote traz todas as correções anteriores. Um computador que pulou três meses recebe tudo de uma vez quando instala o pacote mais novo. A mesma página explica dois outros tipos de atualização. A prévia opcional, sem correções de segurança, sai na quarta semana do mês e serve para testar. A atualização fora de ciclo (out-of-band) aparece quando um problema não pode esperar o mês seguinte e deve ser instalada logo.

Para o gestor, a consequência é previsível: toda segunda terça-feira chegam correções que valem para quase todas as máquinas da empresa. Saber a data permite reservar a janela de manutenção com antecedência.

O que veio em fevereiro e março de 2026?

Fevereiro mostrou por que a rotina precisa de prazo. A Microsoft publicou o pacote em 10/02/2026, registrado nas notas de versão do Security Update Guide. Segundo o BleepingComputer, que resume o boletim da Microsoft, foram 58 falhas corrigidas, das quais 5 críticas, e 6 zero-days já explorados por atacantes antes da correção.

Os seis atingiam peças do dia a dia de qualquer escritório. A lista inclui o Windows Shell (CVE-2026-21510), o MSHTML, motor de páginas usado pelo Windows (CVE-2026-21513), o Word (CVE-2026-21514), o Desktop Window Manager (CVE-2026-21519), o Gerenciador de Conexões de Acesso Remoto (CVE-2026-21525) e a Área de Trabalho Remota (CVE-2026-21533). No mesmo dia, a CISA, agência de cibersegurança dos Estados Unidos, incluiu as seis no catálogo de falhas exploradas.

Março foi diferente. O pacote saiu em 10/03/2026, nas notas de março do Security Update Guide. O BleepingComputer contou 79 falhas e dois zero-days divulgados publicamente, no SQL Server (CVE-2026-21262) e no .NET (CVE-2026-26127), sem exploração conhecida na data. Outros veículos chegaram a totais um pouco diferentes, porque cada um conta de um jeito os itens de Edge e de terceiros.

Qual a diferença entre zero-day divulgado e zero-day explorado?

Zero-day é a falha que ficou conhecida antes de existir correção. Ela pode estar em dois estados. "Divulgada publicamente" quer dizer que os detalhes já circulam, o que facilita a vida de quem quer atacar. "Explorada" quer dizer que alguém já usou a falha em ataque real.

A diferença muda a prioridade. Em fevereiro, as seis falhas exploradas pediam instalação na mesma semana. Em março, os dois zero-days apenas divulgados ficavam na rotina normal do mês, com atenção extra para quem tem SQL Server.

Use o catálogo KEV da CISA como termômetro gratuito. As seis falhas de fevereiro entraram no catálogo em 10/02/2026 com prazo de correção em 03/03/2026 para os órgãos federais americanos, ou seja, três semanas. A CISA recomenda que outras organizações também usem o catálogo para decidir o que corrigir primeiro.

Como montar a rotina mensal numa PME?

A rotina cabe numa planilha e numa reunião curta por mês. Ela tem cinco passos.

Saiba o que você tem. Liste computadores, servidores, versão do Windows e quem usa cada um. Inclua o Office e o SQL Server, se houver.
Leia o boletim na quarta-feira seguinte. Separe o que já está explorado ou no KEV. Isso vai para o topo.
Teste num grupo pequeno. Escolha duas ou três máquinas de setores diferentes e instale primeiro nelas. Um ou dois dias de uso normal mostram se algum sistema da empresa parou.
Instale no resto em dias. Para falha explorada, a meta é a mesma semana. Para o restante, termine antes do fim do mês. Servidores entram numa janela combinada fora do expediente.
Confira e registre. Veja quais máquinas não instalaram, descubra o motivo e anote a data. Máquina que falha todo mês costuma ter outro problema.

Ferramentas como o Windows Update para empresas, o WSUS ou o Intune automatizam boa parte desse trabalho. O que nenhuma ferramenta faz sozinha é decidir a prioridade e cobrar o prazo. Essa tarefa precisa de um dono com nome na empresa.

E os computadores que não recebem mais atualização?

Máquina fora de suporte não recebe o Patch Tuesday. A página de ciclo de vida do Windows 10 Home e Pro informa que o suporte terminou em 14/10/2025. Desde então, essas edições só recebem correção de segurança se a máquina estiver inscrita no programa pago de atualizações estendidas (ESU) da Microsoft, citado na mesma página. Sem ele, as falhas novas ficam abertas.

Marque essas máquinas na planilha. Defina se cada uma será atualizada, substituída ou isolada da rede, e com qual data. O mesmo vale para servidores antigos esquecidos num canto, que muitas vezes rodam o sistema financeiro.

Por onde começar na sua empresa?

Comece pela lista de máquinas e pela data do último pacote instalado em cada uma. Esse retrato costuma revelar computadores parados há meses. Equipamentos de borda, como firewall e VPN, seguem outro calendário: veja o que fazer quando o firewall ou a VPN tem falha crítica.

Os analistas da CyberArmor fazem esse levantamento no Diagnóstico de máquinas, um projeto de duas semanas que aponta o que está desatualizado, fora de suporte ou mal configurado. O serviço de Hardening e conformidade de servidores ajuda a deixar a rotina de atualização funcionando depois. Falar com um especialista.

Fontes