Em 26 de janeiro de 2026 a Microsoft quebrou o próprio calendário e publicou uma atualização de emergência, fora do ciclo mensal, para corrigir a CVE-2026-21509 — falha de severidade alta (CVSS 7.8) que permitia contornar as proteções de OLE do pacote Office e que já estava sendo explorada por criminosos, tanto que entrou no catálogo KEV da CISA, a lista oficial de vulnerabilidades com exploração confirmada. Entre os produtos afetados estava o Office LTSC 2021. Nove meses depois, em 13 de outubro de 2026, o suporte ao Office 2021 terminou — sem extensão e sem atualizações estendidas. Se uma falha equivalente aparecer amanhã, não vai existir correção. E é aí que a PME se machuca: o Word, o Excel e o Outlook continuam abrindo normalmente, sem um único aviso na tela.

O que terminou em 13 de outubro — e o que não terminou

A documentação oficial da Microsoft é direta: depois de 13 de outubro de 2026 não há mais correção de segurança, correção de bug nem suporte técnico para o Office 2021 e o Office LTSC 2021 — e o Microsoft Lifecycle confirma a data. O que não terminou é o funcionamento: os aplicativos seguem abrindo arquivos e imprimindo relatórios como sempre. Nenhuma tela de bloqueio, nenhum contador, nenhuma mensagem de “licença expirada”. Risco novo todo mês, sintoma visível nenhum.

Por que ninguém percebe

Pense no extintor de incêndio pendurado na parede do escritório: continua lá, vermelho, no suporte certo — só que a carga venceu. Enquanto não houver fogo, nada no ambiente indica que aquele equipamento deixou de proteger. Software fora de suporte é o extintor vencido da TI: presente, familiar, aparentemente funcional e inútil no momento em que você mais precisa dele.

Há um agravante cultural. O Office 2021 foi vendido em licença perpétua, e boa parte dos donos de PME entendeu “perpétua” como “para sempre”. Perpétua significa que o direito de uso não expira. Não significa que o fabricante vai manter aquele código corrigido indefinidamente — e a conta chega para quem confundiu as duas coisas.

Não há ESU para o Office — e isso é diferente do Windows

Quem acompanhou o fim do Windows 10 criou uma expectativa errada. Ali a Microsoft ofereceu ESU (Extended Security Updates), programa pago que estende só as correções críticas por um período definido. Para o Office 2021 esse caminho não existe: a própria página de fim de suporte afirma que não haverá extensão nem atualizações estendidas.

E não é caso isolado: o Office 2019 saiu de suporte em 14 de outubro de 2025 — muitas empresas convivem há mais de um ano com um Office sem patch e nunca souberam.

O que um atacante faz com um Office sem correção

O vetor é banal e por isso funciona. As duas falhas de Office com exploração ativa confirmada no primeiro trimestre de 2026 — a já citada CVE-2026-21509 e a CVE-2026-21514, zero-day do Word divulgada no Patch Tuesday de fevereiro — exigem uma única ação da vítima: abrir um documento. Nada de invadir firewall, nada de quebrar senha. Um orçamento em Excel vindo de um “fornecedor” e o código roda na estação com as permissões daquele usuário.

Na prática, um parque com Office fora de suporte derruba controles que a empresa talvez já pague:

• Macros e objetos OLE voltam a ser porta de entrada, porque as mitigações embutidas no produto não recebem mais ajuste.
• Conformidade com a LGPD fica frágil: software sem correção conhecida dificulta sustentar que a empresa adotou medidas técnicas adequadas.
• Exigências de clientes e seguradoras — questionários de contrato e apólices cibernéticas perguntam por software em fim de vida.

Como proteger a sua empresa

1. Levante o que está instalado antes de decidir qualquer coisa

Não se migra o que não se sabe que existe. Gere um inventário real de versão do Office por máquina — incluindo notebooks de quem trabalha fora e o computador do financeiro que ninguém mexe. É comum encontrar três ou quatro versões convivendo no mesmo escritório.

2. Escolha entre Microsoft 365 e Office LTSC 2024 com critério, não por preço de etiqueta

O Microsoft 365 é o caminho padrão: atualização contínua, fim da discussão de ciclo de vida e identidade, MFA e políticas no mesmo lugar. O Office LTSC 2024 atende quem tem restrição real de nuvem — o ciclo de vida publicado pela Microsoft vai até outubro de 2029. Comparar só a mensalidade contra a licença única esconde o custo do incidente.

3. Faça a migração por onda, começando pelo risco

Priorize quem recebe anexo de desconhecido todos os dias: comercial, financeiro, contas a pagar e recepção. Deixe para o fim as estações que só usam sistema interno. Migração em bloco único no fim de semana é o que trava a operação na segunda-feira.

4. Não trate “sem suporte” como “só trocar o Office”

Verifique o que depende daquela versão: planilha com macro antiga, integração com ERP, suplemento de contabilidade, modelo de documento com campo automático. É aqui que a migração mal planejada vira retrabalho — e o motivo pelo qual tanta gente desiste no meio e volta para o pacote vencido.

5. Coloque fim de suporte no calendário, não na memória

Windows, Office, antivírus, firewall, switch, nobreak: tudo tem data. Mantenha uma planilha única de fim de vida dos ativos, revisada a cada trimestre e amarrada ao orçamento do ano seguinte. Fim de suporte deixa de ser susto quando vira linha de previsão.

A decisão que a PME precisa tomar agora

Office fora de suporte não é problema de produtividade — é superfície de ataque que cresce sozinha, todo mês, sem que ninguém no escritório note. A empresa que ainda roda Office 2021 em novembro de 2026 não está “atrasada na atualização”: está operando um componente que recebe vulnerabilidade nova e correção nenhuma. O caminho é conhecido, o custo é previsível e o prazo já passou — falta inventário, plano de onda e um responsável pela execução.

🔐 Você sabe quantas máquinas da sua empresa ainda rodam uma versão do Office sem suporte? Fale com os especialistas da Trinity TI e receba o levantamento do seu parque com o plano de migração priorizado por risco.