Esta atualização do Patch Tuesday de novembro oferece um conjunto muito reduzido de atualizações, com apenas 63 patches da Microsoft e (apenas) um dia zero (CVE-2025-62215) afetando a plataforma de desktop do Windows. O Microsoft SQL Server retornou com uma única atualização, então a equipe do Readiness sugere um cronograma de lançamento de patch padrão para o Microsoft Office, ferramentas de desenvolvedor e navegadores da Microsoft. (Os desktops Windows exigem um plano “Patch Now” e, embora a gravidade dessas vulnerabilidades de segurança seja menor do que em outubro, os requisitos de teste ainda são extensos.)

Para navegar por essas mudanças, a equipe do Readiness forneceu um infográfico detalhando os riscos de implantar as atualizações para cada plataforma. (Mais informações sobre os lançamentos recentes do Patch Tuesday estão disponíveis aqui.)

Problemas conhecidos

A Microsoft relatou um único problema conhecido, ocorrido em várias compilações e metodologias de patch do Windows Server 2022/5:

• Ao instalar KB5070879 ou atualizações posteriores, o Windows Server Update Services (WSUS) não exibe detalhes de erros de sincronização em seu relatório de erros. Esta funcionalidade foi temporariamente removida para resolver a execução remota de código (RCE) vulnerabilidade, CVE-2025-59287. Se não for corrigido, isso poderá levar à desserialização dos dados do patch da Microsoft e à subsequente execução remota arbitrária de código.

Principais revisões e mitigações

A Microsoft publicou várias documentações e atualizações relacionadas a patches após o Patch Tuesday de outubro, incluindo:

• CVE-2025-25004: Vulnerabilidade de elevação de privilégio do PowerShell. A Microsoft atualizou os links de download do PowerShell 7.4 e versão 7.5. Nenhuma ação adicional é necessária.
• CVE-2025-59287: Vulnerabilidade de execução remota de código do Windows Server Update Service (WSUS). Houve várias atualizações e um patch fora do limite para esta atualização. A Microsoft também relatou problemas conhecidos com esta atualização (e o hot patch associado). O escrutínio do administrador é altamente recomendado.
• CVE-2025-55315: Vulnerabilidade de desvio de recurso de segurança do ASP.NET. A Microsoft atualizou a documentação desta atualização para refletir o aumento do nível de gravidade. Ei, alguma justificativa é necessária quando a Microsoft aumentou esta atualização de uma pontuação CVSS3.1 de 9,9 para a classificação mais alta possível de 10,0.

Para aqueles que não estão familiarizados com a classificação CVSS3.1, existe um prático calculadora que combina uma pontuação base, um fator temporal e o ambiente alvo. Para quem tem pressa, uma pontuação CVSS3.1 de 10,0 significa “não é bom.”

Ciclo de vida do Windows e atualizações de aplicação

Outubro foi um grande mês para o Windows 10; este mês, a Microsoft encerrou a manutenção do Windows 1123H2 para as versões Home e Pro. Isso significa que essas versões não receberão mais atualizações de segurança ou manutenção. Não se preocupe se estiver usando o Windows 11 Enterprise, pois LTSC o suporte termina em 9 de outubro de 2029.

Todos os meses, a equipe do Readiness analisa as atualizações mais recentes e fornece orientações de testes detalhadas e acionáveis ​​com base em um grande portfólio de aplicativos e uma análise abrangente dos patches da Microsoft e seu impacto potencial no Windows e nas implantações de aplicativos. A versão de novembro oferece atualizações em toda a infraestrutura de rede, conectividade remota e componentes sem fio, sem sinalizadores de alto risco, mas com uma amplitude significativa que exige testes e validação.

Rede e acesso remoto

As alterações na pilha de rede afetam a capacidade de comunicação de todos os aplicativos, enquanto os ambientes de pilha dupla significam que os caminhos IPv4 e IPv6 exigem validação. O Remote Desktop Protocol serve como principal método de acesso para funcionários e administradores remotos, tornando a estabilidade da conexão inegociável. Sugerimos testar as seguintes áreas relacionadas à conexão remota:

• Envie e receba pacotes pelos protocolos IPv4 e IPv6;
• Transferir arquivos grandes em conexões IPv6;
• Teste a navegação na web, downloads de arquivos e fluxos de trabalho de mensagens do Microsoft Teams/Skype;
• Habilite a Área de Trabalho Remota (Configurações > Sistema > Área de Trabalho Remota) e verifique as conexões do cliente.

Essas atualizações de rede conduzidas pela Microsoft afetam a conectividade fundamental, desde a transmissão básica de pacotes até fluxos de trabalho de aplicativos complexos. O suporte IPv6 exigirá validação dedicada juntamente com as operações de rede IPv4.

VPN, Bluetooth e serviços de acesso remoto

Os testes de conectividade VPN apresentam desafios porque as falhas de conexão se manifestam como problemas de autenticação, problemas de roteamento ou perda silenciosa de pacotes – cada um exigindo diagnósticos diferentes. Vários componentes do Serviço de Acesso Remoto receberam atualizações este mês exigindo os seguintes testes:

• Ativar/desativar RASMAN registrar e estabelecer conexões VPN para verificar a criação do arquivo de registro.
• Lançar RRAS console de gerenciamento (local ou remoto) e realizar operações de configuração e visualização.
• Teste ambos os caminhos administrativos, pois códigos diferentes lidam com cada cenário.

da Microsoft O registro RASMAN fornece diagnósticos críticos de VPN, enquanto o gerenciamento RRAS deve funcionar de maneira confiável para evitar que administradores fiquem presos, incapazes de configurar a infraestrutura de acesso remoto. Os emparelhamentos Bluetooth precisam ser testados, principalmente para música. Também recomendamos um teste de áudio do Microsoft Teams.

Componentes de segurança e UI

Falhas na autenticação de cartões inteligentes criam incidentes de segurança imediatos, mas os testes exigem cartões físicos e infraestrutura de certificados configurada. Os problemas do Desktop Window Manager se manifestam como transições lentas ou atalhos que não respondem. A equipe de prontidão sugere os seguintes testes:

• Smart Cards: Teste a autenticação para login em estações de trabalho locais e sessões remotas;
• UI da área de trabalho: teste a visualização ao vivo (passar a barra de tarefas), alternância Alt+Tab e bloqueio do sistema Win+L e verifique se todas as transições da UI permanecem responsivas.

As organizações devem priorizar o teste dessas atualizações com base na pegada da infraestrutura: conectividade VPN se os serviços de acesso remoto forem os primeiros, depois as transferências de arquivos IPv6 para ambientes de pilha dupla e, finalmente, a sincronização de perfis Wi-Fi onde os ecossistemas de contas da Microsoft são usados. Gerenciador de janelas da área de trabalho e protocolo de área de trabalho remota (PDR) garantem a validação padrão, dada a sua implantação universal. UWP os aplicativos de transmissão representam um caso de uso restrito – a maioria das organizações pode perder a prioridade, a menos que aplicativos de transmissão especializados sejam implantados.

Todos os meses, dividimos o ciclo de atualização em famílias de produtos (conforme definido pela Microsoft) com os seguintes agrupamentos básicos:

• Navegadores (Microsoft IE e Edge)
• Microsoft Windows (desktop e servidor)
• Microsoft Office
• Microsoft Exchange e SQL Server
• Ferramentas para desenvolvedores da Microsoft (Visual Studio e .NET)
• Adobe (se você chegar até aqui)

Navegadores

A Microsoft lançou o seguinte Cromo atualizações para o navegador Edge, todas classificadas como importantes:

• CVE-2025-12725: Gravação fora dos limites no WebGPU
• CVE-2025-12726: Implementação inadequada em Views
• CVE-2025-12727: Implementação inadequada no V8
• CVE-2025-12728 e CVE-2025-12729: Implementação inadequada na Omnibox

Adicione essas atualizações discretas à programação de lançamento padrão do seu navegador.

Windows

A Microsoft atualizou os componentes principais do Windows DirectX e GDI para resolver dois patches críticos. As seguintes áreas foram atualizadas com os 35 patches restantes (todos classificados como importantes) para este ciclo de patches:

• Cartão inteligente do Windows
• Microsoft Hyper-V
• Sistema de armazenamento do Windows e registro de erros comuns
• Winsock, rede sem fio e serviços de streaming

Devido ao dia zero (CVE-2025-62215) no lançamento deste mês que afeta o kernel do sistema Windows, nossa equipe recomenda uma programação “Patch Now” para eles.

Microsoft Office

Este mês, a Microsoft abordou uma única vulnerabilidade classificada como crítica (CVE-2025-62199) para a plataforma Office com 15 atualizações adicionais – todas classificadas como importantes. Adicione essas atualizações do Office ao seu calendário de lançamentos padrão.

Microsoft Exchange e SQL Server

A Microsoft lançou uma única atualização (CVE-2025-59499) que afeta o Microsoft SQL Server. Observação: esta atualização pode fazer parte da programação padrão de atualização do servidor, mas exigirá a reinicialização do servidor.

Ferramentas de desenvolvedor

A Microsoft lançou uma única atualização (CVE-2025-62214) classificados como críticos e outros três classificados como importantes para o Visual Studio. Nenhum deles foi relatado como explorado ou divulgado, por isso recomendamos adicioná-los ao cronograma padrão de lançamento do desenvolvedor.

Adobe (e atualizações de terceiros)

Continuamos prometendo retirar esta seção ou substituí-la por uma seção detalhando atualizações de terceiros publicadas pela Microsoft. Dito isso, não houve atualizações da Adobe nem de terceiros (excluindo o Chromium) este mês. Daremos mais uma chance à Microsoft (e à Adobe) antes de fazermos qualquer alteração. Vamos Adobe!