Plataformas de inteligência artificial podem ser tão suscetíveis à engenharia social quanto seres humanos, mas estão se mostrando notavelmente boas em encontrar vulnerabilidades de segurança em código de computador criado por humanos. Essa realidade está em plena exibição este mês com alguns dos fabricantes de software mais utilizados — incluindo **Apple**, **Google**, **Microsoft**, **Mozilla** e **Oracle** — corrigindo volumes próximos a recordes de falhas de segurança e/ou acelerando o ritmo de suas liberações de patches. ### Patch Tuesday da Microsoft Como faz na segunda terça-feira de cada mês, a **Microsoft** lançou hoje atualizações de software para corrigir pelo menos 118 vulnerabilidades de segurança em seus diversos sistemas operacionais **Windows** e outros produtos. Notavelmente, este é o primeiro Patch Tuesday em quase dois anos que a Microsoft não está enviando correções para lidar com falhas de emergência zero-day que já estão sendo exploradas. Nenhuma das falhas corrigidas hoje foi previamente divulgada (potencialmente dando aos atacantes uma vantagem em como explorar a fraqueza). Dezesseis das vulnerabilidades receberam o rótulo mais grave de "crítico" da Microsoft, o que significa que malware ou criminosos poderiam abusar dessas falhas para obter controle remoto sobre um dispositivo Windows vulnerável com pouca ou nenhuma ajuda do usuário. A **Rapid7** realizou grande parte do trabalho pesado na identificação de algumas das fraquezas críticas mais preocupantes este mês, incluindo: * [CVE-2026-41089](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41089): Um overflow de buffer crítico baseado em pilha no Netlogon do Windows que oferece a um atacante privilégios SYSTEM no controlador de domínio. Nenhum privilégio ou interação do usuário é necessário, e a complexidade do ataque é baixa. Patches estão disponíveis para todas as versões do Windows Server a partir de 2012. * [CVE-2026-41096](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41096): Uma RCE crítica na implementação do cliente DNS do Windows digna de atenção, apesar da Microsoft avaliar a exploração como menos provável. * [CVE-2026-41103](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-41103): Uma vulnerabilidade crítica de elevação de privilégio que permite a um atacante não autorizado se passar por um usuário existente apresentando credenciais forjadas, contornando assim o Entra ID. A Microsoft espera que a exploração seja mais provável. O Patch Tuesday de maio é um alívio bem-vindo em relação a abril, que viu a Microsoft corrigir um número próximo ao recorde de 167 falhas de segurança. A Microsoft estava entre algumas dezenas de gigantes da tecnologia que tiveram acesso ao "**Project Glasswing**", uma capacidade de IA muito comentada desenvolvida pela **Anthropic** que parece bastante eficaz em desenterrar vulnerabilidades de segurança em código. ### Resposta da Apple A **Apple**, outra participante inicial do Project Glasswing, geralmente corrige uma média de 20 vulnerabilidades a cada vez que envia uma atualização de segurança para dispositivos iOS, disse **Chris Goettl**, vice-presidente de gerenciamento de produtos da **Ivanti**. Em 11 de maio, a Apple enviou atualizações para corrigir pelo menos 52 vulnerabilidades e fez o backport das alterações até o iPhone 6s e iOS 15. ### Patching Agressivo da Mozilla No mês passado, a **Mozilla** lançou o **Firefox 150**, que resolveu [impressionantes 271 vulnerabilidades](https://arstechnica.com/ai/2026/04/mozilla-anthropics-mythos-found-271-zero-day-vulnerabilities-in-firefox-150/) que foram supostamente descobertas durante a avaliação do Glasswing. "Desde o lançamento do Firefox 150.0.0, eles têm tido uma cadência semanal mais agressiva para atualizações de segurança, incluindo o lançamento do Firefox 150.0.3 no Patch Tuesday de maio, resolvendo entre três a cinco CVEs em cada lançamento", disse Goettl. ### Oracle e Google se Juntam à Parada de Patches A gigante de software **Oracle** também aumentou recentemente seu ritmo de patches em resposta ao seu trabalho com o Glasswing. Em sua atualização trimestral de patches mais recente, a Oracle corrigiu pelo menos 450 falhas, incluindo [mais de 300 correções para falhas exploráveis remotamente e não autenticadas](https://www.securityweek.com/oracle-patches-450-vulnerabilities-with-april-2026-cpu/). Mas no final de abril, a Oracle anunciou que estava mudando para um ciclo de atualização mensal para questões críticas de segurança. Em 8 de maio, o **Google** começou a implementar atualizações para seu navegador Chrome que [corrigiram um espantoso número de 127 falhas de segurança](https://www.forbes.com/sites/daveywinder/2026/05/08/critical-new-google-security-update-127-chrome-security-vulnerabilities-confirmed/) (acima das apenas 30 do mês anterior). O Chrome baixa automaticamente as atualizações de segurança disponíveis, mas a instalação delas requer a reinicialização completa do navegador. Se você encontrar alguma estranheza ao aplicar as atualizações da Microsoft ou de qualquer outro fornecedor mencionado aqui, sinta-se à vontade para comentar abaixo. Enquanto isso, se você não fez backup de seus dados e/ou disco recentemente, fazer isso *antes* de atualizar é geralmente um conselho sensato. Para uma análise mais detalhada das atualizações da Microsoft lançadas hoje, confira [este inventário](https://isc.sans.edu/forums/diary/Microsoft%20May%202026%20Patch%20Tuesday/32980/) pelo **SANS Internet Storm Center**.