Por quase 25 anos, o Patch Tuesday foi o compromisso fixo do calendário de TI. Na segunda terça-feira do mês, a Microsoft publicava suas atualizações de segurança, e as equipes avaliavam o que se aplicava ao ambiente, testavam e implantavam. Muitos outros fornecedores adotaram a mesma data, e a rotina ganhou ritmo e previsibilidade.
Em outubro de 2026, esse ritmo acabou. O Patch Tuesday corrigiu 1.415 CVEs. Um ano antes, o número era 180. Isso é quase oito vezes mais, e a tendência vem desde maio.
Por que o Patch Tuesday explodiu em 2026
A causa apontada pela ThreatDown é uma nova geração de modelos de IA capazes de encontrar vulnerabilidades em escala. O marco foi o anúncio do Claude Mythos Preview, da Anthropic, em abril. Em vez de liberar o modelo ao público, a empresa criou o Project Glasswing, parceria com grandes fornecedores como a Microsoft e a Linux Foundation. O objetivo é usar a tecnologia para proteger softwares críticos antes que ferramentas parecidas cheguem às mãos de criminosos. A OpenAI tem uma iniciativa equivalente, chamada Daybreak.
Cinco meses depois, o efeito aparece nos números:
- A média móvel de três meses de CVEs corrigidas no kernel Linux triplicou em um ano.
- No Chrome, o aumento chegou a 36 vezes.
- O OpenSSL, biblioteca presente em incontáveis produtos, teve a mesma explosão.
No longo prazo, isso é positivo. Existe um número finito de falhas a encontrar, e quanto mais delas forem corrigidas, mais difícil será explorar o software. O problema é a transição.
O gargalo da gestão de patches está na implantação
A IA tornou a descoberta de vulnerabilidades mais barata e rápida antes de fazer o mesmo com a aplicação de correções. Cada falha encontrada vira uma solicitação de mudança na fila de alguém, e a segurança só melhora quando essa mudança é executada.
Quem executa enfrenta janelas de manutenção, aplicações críticas, dependências frágeis, exigências regulatórias e usuários. Ryan Powell, da ThreatDown, lembra que até quem automatiza o patching sente o impacto, porque mais patches significam mais testes, validação, atrito para o usuário e risco operacional.
E a capacidade já estava no limite. O Verizon DBIR 2026 mostrou que, em 2025, 35% das vulnerabilidades com exploração ativa continuavam sem correção após 28 dias. As equipes que já não davam conta agora enfrentam um Patch Tuesday dez vezes maior. Se não se adaptarem, a fila cresce e o tempo de exposição também.
Vulnerabilidades de infraestrutura: o risco que ninguém vê
Atualizar Chrome e Office é a parte mais fácil, porque são aplicações visíveis e existem processos maduros para isso. O OpenSSL é infraestrutura, e está embutido em firewalls, VPNs, roteadores e produtos embarcados.
Quem usa um firewall pfSense, por exemplo, não atualiza o OpenSSL diretamente. A biblioteca chega dentro do OpenVPN, que vem dentro do sistema do equipamento. Os atacantes podem estudar uma falha assim que o patch se torna público, mas a correção só chega à empresa depois de passar pelos testes e lançamentos dos fornecedores a jusante e, por fim, pela gestão de mudanças da própria organização. Em 2022, após a correção da CVE-2022-0778, a Synology liberou patches para alguns produtos em semanas, mas as atualizações de VPN e roteadores levaram cerca de cinco meses a mais.
Como adaptar a gestão de patches ao novo ritmo
As recomendações abaixo seguem o que guias como o NIST SP 800-40 orientam para o planejamento de patches corporativos:
- Inventarie tudo, inclusive appliances e componentes embarcados. Sem saber onde a biblioteca vulnerável está, não há como priorizar.
- Priorize por risco real. Dê preferência a falhas com exploração ativa, ativos expostos à internet e sistemas críticos, em vez de tentar aplicar tudo na mesma velocidade.
- Automatize o que for possível, com anéis de implantação e testes automatizados para reduzir o esforço humano por patch.
- Defina prazos por criticidade e acompanhe o cumprimento como indicador de gestão.
- Cobre dos fornecedores prazos claros para correções de componentes de terceiros.
- Tenha controles compensatórios (segmentação, WAF, regras de IPS) para os casos em que o patch precisar esperar.
Conclusão: o Patch Tuesday virou um teste de maturidade
O Patch Tuesday deixou de ser uma rotina previsível e virou um teste de maturidade. Quem tem inventário, priorização e automação absorve o novo volume. Quem opera no improviso verá a fila crescer. Se a sua empresa precisa estruturar a gestão de vulnerabilidades e o monitoramento contínuo, conheça nossos serviços gerenciados de segurança e SOC e a consultoria em segurança e GRC.
Fontes: ThreatDown – The patch tsunami, Verizon DBIR 2026, NIST SP 800-40 Rev. 4.
