Resposta rápida
Uma atualização de rotina do Windows Server travou o Remote Desktop por cinco dias, em setembro de 2026 — e expôs uma pergunta que a maioria das empresas nunca respondeu: o que realmente cobre a lacuna quando o canal oficial de acesso remoto cai.
- Uma atualização de Patch Tuesday travou o RDS no Windows Server 2019, 2022 e 2025 por cinco dias, até a correção da Microsoft
- 55% das empresas já rodam quatro ou mais ferramentas de acesso remoto ao mesmo tempo, a maioria sem log centralizado ou MFA
- O acesso remoto e as VPNs saltaram de 3% para 22% das violações em um único ano
- A virada: o apagão foi a parte fácil de perceber. As ferramentas não auditadas que cobriram a lacuna, essas ficam
Em 9 de setembro de 2026, a Microsoft lançou as atualizações regulares do Patch Tuesday para o Windows Server. Nada nas notas de versão parecia fora do comum.
Em poucas horas, equipes de TI rodando Windows Server 2019, 2022 e 2025 começaram a ver sessões de Remote Desktop travarem no meio da conexão. Sessões novas ficavam presas em “Conectando…” e nunca terminavam.
A causa, depois que a Microsoft rastreou o problema, foi um deadlock entre o serviço de RDP e o Local Session Manager — o componente que distribui e controla cada sessão remota na máquina.
A correção emergencial saiu cinco dias depois, em 14 de setembro. Durante quase uma semana de trabalho, muitos administradores não tinham uma forma confiável de acessar remotamente as máquinas que são pagos para gerenciar.
O que levanta uma pergunta desconfortável: se o caminho oficial cai, o que realmente cobre a lacuna? Na maioria das empresas, ninguém escreveu essa resposta.
Uma Atualização de Rotina, uma Frota Travada
O que dificultou detectar esse apagão é que ele não falhava na hora. Os servidores rodavam normalmente por algumas horas depois da atualização, até que novas conexões de Remote Desktop começavam a travar e as sessões existentes não conseguiam mais se desconectar ou encerrar de forma limpa.
Esse atraso é exatamente o motivo pelo qual uma janela de mudança e um teste rápido raramente pegam esse tipo de falha. O servidor parece bem às 9h e para de responder no meio da tarde, quando a carga real de sessões se acumula sobre o deadlock.
A Microsoft confirmou a regressão no Windows Server 2019, 2022 e 2025, e lançou atualizações fora do ciclo normal em 14 de setembro de 2026 para corrigi-la.
O Que Falha em Silêncio Quando a Porta Principal Trava
Ninguém é dono do caminho alternativo
Quando o RDP cai, a resposta honesta na maioria das empresas é “quem conseguir resolver primeiro”. Raramente existe um canal secundário definido e testado, registrado em algum lugar.
Ferramentas paralelas cobrem a lacuna sem convite
Sob pressão, alguém instala uma ferramenta de acesso remoto de uso pessoal numa máquina só para voltar a entrar. Isso resolve o problema imediato e cria um novo: um ponto de acesso não gerenciado que sobrevive ao apagão que o originou.
O log de sessão não acompanha o Plano B
Qualquer governança que exista ao redor do canal principal — MFA, gravação de sessão, uma etapa de aprovação — raramente se estende para o que é usado no lugar dele. O rastro de auditoria fica com um buraco exatamente onde uma investigação de incidente mais precisaria dele.
A ferramenta improvisada durante um apagão de cinco dias no RDP não é desinstalada quando a correção chega. Ela fica na máquina, sem registro, até que alguém revisando o inventário de endpoints meses depois não tenha ideia do que é aquilo nem quem instalou.
Um plano B que ninguém testou não é um plano de contingência. É um segundo ponto cego.
Portas Demais, Nenhuma Vigiada
Esse episódio do RDP é incomum principalmente pela escala. A maioria das empresas já tem mais caminhos de entrada nas suas máquinas do que a TI conseguiria listar de memória.
O Team82, da Claroty, analisou mais de 50 mil dispositivos com acesso remoto habilitado e encontrou 55% das empresas rodando quatro ou mais ferramentas de acesso remoto ao mesmo tempo; um terço roda seis ou mais, e algumas chegam a gerenciar quinze ou dezesseis.
Quase 80% dos dispositivos estudados tinham pelo menos duas ferramentas fora do padrão corporativo instaladas — ferramentas sem gravação de sessão, sem controle de acesso por papel, às vezes sem autenticação multifator nenhuma. Cada uma é uma porta que ninguém é obrigado a explicar.
O Acesso Remoto Virou a Principal Porta de Entrada dos Atacantes
O risco de deixar tantas portas sem vigilância subiu este ano. O Data Breach Investigations Report 2026, da Verizon, encontrou que explorar uma vulnerabilidade ultrapassou credenciais roubadas como a principal forma de acesso inicial dos atacantes — a primeira vez que isso acontece nos 19 anos do relatório, respondendo por 31% das violações, ante 20% no ano anterior.
O relatório aponta onde essa exploração se concentra: dispositivos de borda e VPNs saltaram de 3% para 22% das violações por exploração em um único ano, um salto de sete vezes. A infraestrutura de acesso remoto não costumava ser o alvo principal das manchetes. Agora é.
Colocando o Acesso Remoto sob Controle, em Ordem
- Faça o inventário de toda ferramenta capaz de acessar uma máquina remotamente.Comece pelo que é autorizado, depois confira o que está realmente instalado. A diferença entre os dois costuma ser a história real.
- Centralize a autenticação e o log em todas elas.Uma política de MFA, um log de sessão, não importa qual ferramenta alguém use quando a principal está fora do ar.
- Defina e teste um caminho alternativo antes que o principal quebre.Não testado é o mesmo que inexistente quando o canal principal cai às 2h da manhã.
- Revise esse inventário a cada ciclo de patch.Novos agentes são instalados em silêncio, muitas vezes durante o mesmo tipo de apagão que acabou de acontecer.
Uma sessão de acesso remoto governada registra quem conectou, em qual máquina, de onde, e o que mudou durante a sessão — o conjunto de dados que fica totalmente ausente quando uma máquina isolada é acessada pela ferramenta mais rápida de instalar naquela semana.
Como a INGITE ajuda
Cloud Remote Access
Um canal único e governado para acessar qualquer máquina, com cada sessão autenticada e registrada da mesma forma, para que a falha de um patch em um caminho nunca deixe a frota sem uma forma de acesso responsável.
Cloud EndPoint Security
Revela cada ferramenta de acesso remoto realmente instalada na frota, autorizada ou não, para que o inventário do primeiro passo seja evidência, não suposição.
Se o RDP Caísse Hoje à Noite, Quem Cobriria a Lacuna?
Antes do próximo ciclo de patches chegar, responda com honestidade:
- Você sabe qual é cada ferramenta de acesso remoto instalada hoje na sua frota, não só a autorizada?
- Existe um caminho alternativo testado, ou alguém improvisaria um sob pressão?
- Seu log de sessão cobre qualquer ferramenta que acabe sendo usada, não só a principal?
- Você notaria uma nova ferramenta de acesso remoto aparecendo numa máquina esta semana?
Se a resposta honesta para mais de uma dessas perguntas for não, o risco nunca foi mesmo sobre um patch do Windows. É sobre quantos caminhos sem vigilância já existem na frota.
O que causou o apagão do Remote Desktop Services no Windows Server em setembro de 2026?
Quantas ferramentas de acesso remoto uma empresa comum realmente tem rodando?
Por que VPNs e ferramentas de acesso remoto viraram uma das principais portas de entrada dos atacantes?
Qual é a diferença entre RDP e uma solução de acesso remoto gerenciada?
Dê ao acesso remoto um único dono, não quatro ferramentas
Um canal único e governado para cada máquina, autenticado e registrado da mesma forma — para que a falha de um patch em um caminho nunca deixe a frota sem uma forma de acesso responsável.