O Patch Tuesday de setembro de 2025 da Microsoft corrige 81 falhas, dois dias zero

Hoje é o Patch Tuesday de setembro de 2025 da Microsoft, que inclui atualizações de segurança para 81 falhas, incluindo duas vulnerabilidades de dia zero divulgadas publicamente.

Este Patch Tuesday também corrige nove vulnerabilidades “críticas”, cinco das quais são vulnerabilidades de execução remota de código, 1 é divulgação de informações e 2 são elevação de privilégios.

Quando o BleepingComputer relata as atualizações de segurança do Patch Tuesday, contamos apenas as lançadas no Patch Tuesday.

Portanto, o número de falhas não inclui três vulnerabilidades do Azure, uma do Dynamics 365 FastTrack Implementation Assets, duas do Mariner, cinco do Microsoft Edge e 1 do Xbox corrigidas no início deste mês.

O Patch Tuesday deste mês corrige duas falhas de dia zero divulgadas publicamente no Windows SMB Server e no Microsoft SQL Server. Microsoft classifica uma falha de dia zero como divulgado publicamente ou explorado ativamente enquanto nenhuma correção oficial estiver disponível.

A Microsoft corrigiu uma falha de elevação de privilégios no SMB Server que é explorada por meio de ataques de retransmissão.

“O servidor SMB pode ser suscetível a ataques de retransmissão, dependendo da configuração. Um invasor que explorasse com sucesso essas vulnerabilidades poderia realizar ataques de retransmissão e tornar os usuários sujeitos a ataques de elevação de privilégio”, explica a Microsoft.

Microsoft diz que o Windows já inclui configurações para proteger o servidor SMB contra ataques de retransmissão, incluindo a habilitação da Assinatura de Servidor SMB e da Proteção Estendida para Autenticação (EPA) do Servidor SMB.

No entanto, habilitar esses recursos pode causar problemas de compatibilidade com dispositivos e implementações mais antigos.

A Microsoft recomenda que os administradores habilitem a auditoria em servidores SMB para determinar se encontrarão algum problema quando esses recursos de proteção forem totalmente aplicados.

“Como parte das atualizações do Windows lançadas a partir de 9 de setembro de 2025 (CVE-2025-55234), o suporte está habilitado para auditar a compatibilidade do cliente SMB para assinatura do SMB Server, bem como SMB Server EPA”, explica a Microsoft.

A Microsoft não atribuiu a falha a nenhum pesquisador e não está claro onde ela foi divulgada.

CVE-2024-21907 -VulnCheck: CVE-2024-21907 Tratamento inadequado de condições excepcionais em Newtonsoft.Json

A Microsoft corrigiu uma vulnerabilidade anteriormente conhecida emNewtonsoft.Json que está incluído como parte do Microsoft SQL Server.

“O CVE-2024-21907 aborda uma vulnerabilidade de tratamento incorreto de condições excepcionais no Newtonsoft.Json antes da versão 13.0.1”, explica a Microsoft.

“Os dados criados que são passados para o método JsonConvert.DeserializeObject podem acionar uma exceção StackOverflow, resultando em negação de serviço. Dependendo do uso da biblioteca, um invasor remoto e não autenticado pode causar a condição de negação de serviço.”

“As atualizações documentadas do SQL Server incorporam atualizações no Newtonsoft.Json que abordam essa vulnerabilidade.”

Abaixo está a lista completa de vulnerabilidades resolvidas nas atualizações do Patch Tuesday de setembro de 2025.

Para acessar a descrição completa de cada vulnerabilidade e os sistemas que ela afeta, você pode visualizar orelatório completo aqui.