Microsoft corrige 63 falhas no Patch Tuesday

A Microsoft liberou neste Patch Tuesday (novembro de 2025) atualizações de segurança para 63 falhas em diversos produtos e serviços, incluindo Windows, Office, Azure e Visual Studio. Uma das vulnerabilidades já estava sendo explorada ativamente, exigindo ação imediata de empresas e usuários.

Zero-day crítico no Windows Kernel

O destaque vai para o CVE-2025-62215, uma vulnerabilidade de elevação de privilégio no Windows Kernel. O problema consiste em uma condição de corrida (race condition) explorada por invasores locais autorizados, possibilitando ganhos de acesso privilegiado ao sistema. Não há solução alternativa além da atualização, que deve ser aplicada urgentemente em todas as versões suportadas do Windows.

Principais falhas e impactos

• 29 vulnerabilidades de elevação de privilégio
• 16 de execução remota de código (RCE)
• 11 de divulgação de informações
• 3 de negação de serviço
• 2 de spoofing
• 2 de bypass de recurso de segurança

Outros destaques do boletim:

• CVE-2025-60724: buffer overflow em GDI+ permite RCE via rede
• CVE-2025-62214: injeção de comandos em Visual Studio possibilita execução de código local
• CVE-2025-30398: falha de autorização em Nuance PowerScribe 360 permite divulgação de informações

Falhas críticas também foram corrigidas em componentes como WinSock, Kerberos, Azure Monitor Agent, Dynamics 365, Excel, SharePoint, OneDrive, SQL Server, entre outros.

Recomendações

A Microsoft orienta a aplicação imediata dos patches, especialmente em sistemas expostos à internet e com altas permissões. Equipes de segurança devem:

• Usar Microsoft Update, WSUS e ferramentas de inventário para garantir a atualização em toda a infraestrutura
• Priorizar a correção de falhas em endpoints críticos e servidores privilegiados
• Monitorar ações suspeitas relacionadas ao kernel e à elevação de privilégios

O Patch Tuesday de novembro reforça a crescente sofisticação dos ataques contra sistemas corporativos e a importância vital do gerenciamento contínuo de atualizações de segurança.