Pacote de outubro corrige 1.411 falhas, incluindo uma zero-day explorada e duas divulgadas publicamente; Windows 11 24H2 e Windows 10 LTSB 2016 chegam ao fim do suporte.

Falha zero-day de autenticação no Connect Secure é explorada para executar comandos sem login; clientes devem atualizar as versões afetadas imediatamente.

Token de acesso pessoal podia ser transferido sem consentimento e permitir a invasores baixar, publicar ou apagar imagens em repositórios alheios; a correção foi aplicada, sem indícios de exploração.

Atualização de outubro resolve 20 vulnerabilidades, incluindo uma falha de gravidade máxima no SDK Cloud para Python, explorável remotamente sem privilégios para roubar credenciais.

PDFs maliciosos podem explorar a CVE-2026-39919 para executar código remotamente em sistemas com versões 9.21 a 10.07.1; atualize para 10.08.0 ou bloqueie o processamento de PDFs.

Pesquisadores executaram código em área isolada que protege credenciais do Defender; demonstrada em laboratório, sem ataques conhecidos ou evidência de roubo de senhas, a brecha foi corrigida pela Microsoft em setembro.

A CVE-2026-92392 pode corromper a memória durante envios HTTP/2 e permitir execução de código; atualize para a versão 8.23.0 ou desative HTTP/2 até instalar a correção.

A CVE-2026-74580 no subsistema vhost permite obter privilégios de administrador e, em certas configurações, escapar de máquinas virtuais e comprometer o host. A vulnerabilidade afetou kernels por quase nove anos; instale a correção.

O código malicioso no Android substitui apps legítimos por versões adulteradas para roubar credenciais, mensagens e PINs, além de controlar celulares e capturar telas e áudio.

Agentes de IA combinaram três falhas num exploit capaz de executar código no Windows ao carregar uma página; o Google corrigiu tudo e pagou US$ 250 mil.

Operação internacional derrubou estrutura ligada a mais de 1 bilhão de mensagens maliciosas contra 75 mil organizações em 150 países; Microsoft também bloqueou 100 mil domínios e desativou 20 mil contas.

CyberXero invadiu sites WordPress e organizações ucranianas, enquanto a Operation Master explorou redes corporativas e impulsionou fraudes de faturas via Pix no Brasil.

Vulnerabilidade explorada ativamente permite que invasores sem autenticação enviem e executem código PHP para tomar o controle de sites WordPress. Atualize o complemento imediatamente.

Ataques combinam duas vulnerabilidades para assumir dispositivos e instalar scripts de acesso remoto e mineradores de criptomoedas; cinco organizações podem ter sido afetadas.

Após relatos de mais de US$ 86 milhões em perdas, a empresa investiga dispositivos vendidos pela CryptoBilis com implante físico não autorizado e recomenda transferir ativos para uma nova carteira.

Vulnerabilidade no compilador de expressões regulares do CI/CD pode permitir a invasores remotos não autenticados executar código arbitrário; usuários devem atualizar para versões corrigidas imediatamente.

A varejista tirou parte da rede do ar para conter um problema de segurança; lojas seguem abertas, mas serviços digitais e acesso a escalas e comprovantes de pagamento apresentam falhas.

Criminosos manipularam controladores Danfoss e acionaram o degelo automático em 250 a 350 supermercados, causando desperdício de alimentos e prejuízos; autoridades investigam o caso.

Drones danificaram três instalações da Yandex na Rússia, fechando duas e reduzindo a operação de outra; clientes relatam falhas e dificuldade para acessar arquivos na nuvem.

A autoridade de proteção de dados puniu a Xandr em US$ 9,6 milhões por compartilhar, sem consentimento, dados sensíveis de usuários do Grindr com milhares de anunciantes.