Parche de abril 2026 do Windows Server provoca ciclos de reinício em controladores de domínio com PAM

Se você administra um ambiente Windows Server, você tem um motivo mais para olhar com cuidado as atualizações de abril de 2026: alguns controladores de domínio estão entrando em ciclo de reinício após aplicar o adesivo de segurança deste mês, e a causa aparente é uma falha no processo Local Security Authority Subsystem Service (LSASS) durante o arranque.

LSASS é o componente do sistema responsável por validar credenciais e gerir a segurança a nível do domínio. Quando esse serviço falha muito cedo no processo de início, o servidor pode ser reiniciado de forma repetida antes de os serviços de diretório serem operacionais, o que deixa os equipamentos da rede sem capacidade de autenticação e pode provocar o domínio inservível até que o problema seja resolvido. O problema, segundo a Microsoft, afeta sobretudo os controladores de domínio que não são Catálogo Global e que operam em ambientes que usam Privileged Access Management (PAM).

A Microsoft identifica a atualização afetada com o rótulo de abril de 2026 (KB5082063) e assinala que as versões afetadas incluem Windows Server 2016, 2019, 2022, 23H2 e Server 2025. A empresa publicou informações no seu painel de lançamento e recomenda que os administradores contactem o seu suporte comercial para receber indicações e medidas paliativas que possam ser aplicadas mesmo se a atualização já foi instalada. Você pode consultar informações oficiais sobre o estado das versões no portal de Release Health da Microsoft: https://learn.microsoft.com/en-us/windows/release-health/, e revisar o guia de atualizações no Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide.

Importa salientar que este contratempo não é geral para equipamentos pessoais, mas está circunscrito a ambientes gerenciados que usam Privileged Access Management para Active Directory. Se você quiser aprofundar o que é PAM e como altera o fluxo de autenticação no Active Directory, a Microsoft tem documentação técnica sobre o tema: Privileged Access Management para Active Directory.

Além do problema de reinício, a Microsoft advertiu de outros efeitos colaterais associados à mesma atualização: em alguns servidores com o Windows Server 2025 a instalação do adesivo pode falhar, e em certos equipamentos pode aparecer um pedido de chave de recuperação do BitLocker após a atualização. Se a sua organização usar o BitLocker é aconselhável ter as chaves de recuperação e rever os guias oficiais sobre sua gestão: Guia de recuperação do BitLocker.

É compreensível a preocupação: nos últimos anos a Microsoft teve de lidar várias vezes com problemas relacionados com atualizações que afetaram controladores de domínio e autenticação no Windows Server. Em 2024 e 2025 já surgiram incidências que obrigaram a emitir correções fora de ciclo ou a publicar advertências e soluções temporárias. Esta recorrência sublinha o crítico que é planear cuidadosamente a aplicação de sistemas de infra-estruturas de pastas activas.

O que os administradores podem fazer enquanto a Microsoft publica uma solução definitiva? O mais prudente é agir com cautela: evitar reiniciar ou atualizar todos os drivers de domínio ao mesmo tempo, priorizar o teste de patches em ambientes de pré-produção, e manter procedimentos de recuperação identificados (snapshots de máquinas virtuais, backups do estado do sistema, documentação de chaves do BitLocker). Se você já encontrou com o problema, a Microsoft insta a abrir um caso com seu suporte empresarial para obter instruções específicas e mitigações aplicáveis após a instalação: Contato com Microsoft Support for Business.

Os registos do sistema devem também ser monitorizados em busca de sinais de falhas de LSASS e reinícios recorrentes e isolar temporariamente os controladores afetados para evitar que impeçam a operação do domínio. Evitar extrapolar a incidência para estações de trabalho não geridas por uma equipe de TI pode poupar alarmes desnecessários: a afectação concentrada em ambientes com PAM e em controladores não-GC limita o alcance do problema fora de infraestruturas corporativas.

A situação é um lembrete de que, em infra-estruturas críticas como o Active Directory, a gestão de adesivos deve combinar rapidamente — para fechar vetores de vulnerabilidade — com prudência, testes e planos de reversão. Fique atento às atualizações do painel de estado e de segurança da Microsoft e, se você tem responsabilidades sobre domínios em produção, prioriza a comunicação com os fornecedores de suporte para minimizar o impacto operacional.

Se você quiser rever a comunicação interna que você vai enviar para a sua equipe de TI ou ajudá-lo a redigir um checklist de verificação antes de aplicar este adesivo em seus servidores, diga-o e o preparo.