Fim da vida útil do Windows 10: o que sua empresa precisa fazer agora

O que fim de vida significa na prática

O fim da vida útil não significa que o Windows 10 pare de funcionar. Significa que a Microsoft parou de corrigir falhas. As atualizações do Patch Tuesday cessaram em 14 de outubro de 2025. Qualquer vulnerabilidade descoberta após essa data, seja uma exploração de dia zero por grupos de ransomware ou um CVE divulgado publicado no National Vulnerability Database, permanece aberta em máquinas Windows 10 indefinidamente. Nenhum patch virá.

A comparação com o fim da vida útil do Windows 7 em janeiro de 2020 é instrutiva. Em poucos meses, a atividade de exploração direcionada a máquinas com Windows 7 sem correção aumentou acentuadamente. Os agentes de ameaças mantêm listas de sistemas operacionais em fim de vida precisamente porque a superfície de ataque é conhecida, permanente e cresce a cada nova divulgação de CVE.

Além da segurança, o Windows 10 perde progressivamente o suporte de terceiros. Os fornecedores de software atualizam suas matrizes de compatibilidade quando uma nova versão é lançada. Os aplicativos continuarão funcionando no curto prazo, mas as configurações suportadas pelo fornecedor, as atualizações de driver para novo hardware e as melhorias de segurança do navegador deixarão de estar disponíveis no Windows 10 nos próximos um a dois anos.

A escala do problema

Segundo o Statcounter, o Windows 10 ainda respondia por 24,17% dos computadores Windows no Brasil em setembro de 2026. Em um parque de 100 máquinas, são cerca de 24 dispositivos sem patches de segurança há quase um ano.

A concentração é maior em empresas que compraram hardware em 2017–2019, seja porque essas máquinas não atendem aos requisitos de hardware do Windows 11 ou porque nenhuma migração foi planejada quando o Windows 11 foi lançado em 2021. Muitas organizações só descobriram o problema quando um auditor da ISO 27001 ou uma due diligence de cliente o apontou.

Suas três opções

Opção 1: atualização no local (gratuita)

Se a máquina atender aos requisitos de hardware do Windows 11, a atualização será gratuita por meio do Windows Update ou do Assistente de Instalação do Windows 11. O processo leva de 45 a 90 minutos, preserva aplicativos e arquivos existentes e não requer compra de licença. Para máquinas qualificadas, este é o caminho de menor atrito.

O bloqueador comum é o TPM 2.0. O Windows 11 requer um Trusted Platform Module na versão 2.0. Muitas máquinas de 2016 a 2018 foram fornecidas com TPM 1.2 ou com TPM 2.0 presente, mas desabilitadas nas configurações do BIOS. Antes de decidir que uma máquina não pode ser atualizada, verifique as configurações de firmware do BIOS. Um chip TPM 2.0 desabilitado pode ser habilitado em minutos e torna a máquina elegível para uma atualização gratuita. Execute o aplicativo Microsoft PC Health Check em cada dispositivo para confirmar seu status de elegibilidade antes de planejar qualquer outra coisa.

Opção 2: Substituir hardware

As máquinas que falham nas verificações de compatibilidade após a inspeção do BIOS são candidatas à substituição. De qualquer forma, um laptop com um ciclo de atualização de 4 a 5 anos normalmente deveria ser substituído nesse período. O prazo final do Windows 10 acelera uma atualização de hardware que já estava no horizonte.

Se estiver substituindo, padronize uma especificação de hardware. O hardware consistente reduz a complexidade do suporte e agiliza a geração de imagens, a implantação e a solução de problemas. Documente as especificações mínimas para novas compras daqui para frente, para que as decisões de aquisição não recriem o mesmo problema em quatro anos.

Opção 3: atualizações de segurança estendidas (ESU)

A Microsoft vende patches de segurança estendidos para Windows 10 por meio de licenças comerciais por dispositivo, via licenciamento por volume ou parceiros CSP. O preço de lista é de US$ 61 por dispositivo no primeiro ano (até 13 de outubro de 2026), US$ 122 no segundo (de 14 de outubro de 2026 a outubro de 2027) e US$ 244 no terceiro (2027–2028). Se você entrar no segundo ano, paga também o primeiro: US$ 183 por dispositivo. Dispositivos Windows 10 que acessam o Windows 365 ou o Azure Virtual Desktop recebem o ESU sem custo adicional. O ESU comercial termina em outubro de 2028.

Para usuários domésticos, a Microsoft ofereceu um único ano de ESU para consumidores. Essa cobertura termina em 13 de outubro de 2026, sem opção de segundo ano. Se sua equipe usa notebooks pessoais com Windows 10 para trabalhar, essas máquinas recebem o último patch no Patch Tuesday de outubro de 2026. Trate-as como dispositivos não gerenciados e bloqueie o acesso delas aos dados da empresa com acesso condicional.

A ESU mantém as máquinas corrigidas contra vulnerabilidades divulgadas, mas não restaura atualizações de recursos, suporte de driver para novo hardware ou compatibilidade com versões futuras de software. É uma ponte para o planejamento e execução da migração, e não uma alternativa permanente. Se seu plano for ESU agora e migração depois, defina o prazo de migração antes que o período da ESU expire.

Auditando seu patrimônio

Antes de planejar qualquer migração, você precisa de um inventário preciso de cada dispositivo, sua versão do sistema operacional e seu status de compatibilidade com o Windows 11.

Se sua organização usa o Microsoft Intune, execute um relatório de conformidade do dispositivo filtrado por versão do sistema operacional. O Intune também pode executar resultados do PC Health Check em escala por meio de uma política de conformidade. Se você usar outra plataforma RMM, gere um relatório de inventário do sistema operacional no console de gerenciamento. Onde você não possui ferramentas de gerenciamento remoto, o aplicativo Microsoft PC Health Check pode ser executado localmente em cada máquina.

Exporte os resultados para uma planilha e agrupe os dispositivos em três categorias: elegíveis para atualização no local, requerem substituição de hardware e cobertos por ESU com substituição pendente. Crie uma ordem de correção priorizada: primeiro administre contas de administrador e máquinas que acessam sistemas financeiros, dados privilegiados ou recursos conectados por VPN.

Requisitos de hardware do Windows 11

Implicações de conformidade

LGPD, Artigo 46 exige que controladores e operadores adotem medidas de segurança técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. Um sistema operacional que não recebe mais patches de segurança do fornecedor é uma lacuna de segurança documentável: se um incidente envolvendo dados pessoais ocorrer numa máquina Windows 10 sem correção, a ANPD pode considerar a ausência de atualização uma falha de medida de segurança ao avaliar a responsabilidade.

ISO 27001:2022, Anexo A.8.8 (Gerenciamento de Vulnerabilidades Técnicas) exige que as organizações identifiquem vulnerabilidades em seus ativos de informação e as resolvam dentro de um prazo definido. Um sistema operacional que acumula permanentemente CVEs não corrigidos é uma vulnerabilidade técnica documentada para a qual um auditor exigirá um plano de correção por escrito.

Instituições financeiras sujeitas à Resolução CMN 4.893/2021 (e instituições de pagamento sob a Resolução BCB 85/2021) precisam manter uma política de segurança cibernética com testes e varreduras para detecção de vulnerabilidades. Um parque com Windows 10 sem ESU é um achado direto nessas avaliações. Empresas que atendem clientes na UE também podem ser cobradas pela NIS2 (art. 21), que exige gestão de vulnerabilidades e aplicação de patches em toda a cadeia de fornecimento.