Novidades do Microsoft Intune, outubro de 2026 (18 mudanças que você precisa conhecer)

Dezoito mudanças chegaram ao Microsoft Intune em outubro de 2026: quatro entregas semanais (5, 12, 19 e 26 de outubro) e a versão de serviço 2610, com catorze mudanças sozinha. Algumas pedem ação sua. Aqui estão todas, em três grupos: aja agora, vale saber e rapidinhas.

A Microsoft libera cada versão aos poucos, ao longo de alguns dias a uma semana, então, se algo ainda não apareceu no seu tenant, dê um tempo. Fonte de tudo abaixo: Novidades do Microsoft Intune no Microsoft Learn.

Aja agora

Administrator protection no Windows 11

O Administrator protection é um recurso do Windows 11 baseado no privilégio mínimo. Até um administrador local trabalha com um token padrão. Quando algo precisa de direitos de administrador, como instalar um software, o Windows pede aprovação com o Windows Hello. Uma conta oculta, gerenciada pelo sistema, cria então um token de administrador só para aquela tarefa, e o token some quando o app fecha.

O Intune ganhou as duas configurações que controlam o recurso: o tipo de Admin Approval Mode (que liga o recurso) e o comportamento do aviso de elevação. Elas estão nas políticas de segurança de endpoint Account protection e no catálogo de configurações para o Windows 11 24H2 e 25H2.

O ponto de atenção: se você aplica as linhas de base de segurança do Windows da Microsoft por Política de Grupo, a atualização de segurança do Windows de outubro de 2026 liga o Administrator protection por padrão. A linha de base de segurança do Intune para 26H2 não inclui essa configuração, então em dispositivos gerenciados só pelo Intune nada muda até você configurar. Nos dois casos, vale depois de reiniciar.

A Microsoft lista lugares onde ele não deve ser ligado hoje, como Cloud PCs do Windows 365, hosts de sessão do Azure Virtual Desktop, dispositivos que precisam de Hyper-V e dispositivos gerenciados com LAPS. Veja a lista completa em Administrator protection e teste antes com um grupo piloto.

Linha de base de segurança para o Windows 11, versão 26H2

Configurações novas, padrões atualizados e orientações revisadas. Os perfis de linha de base que você já tem não se atualizam sozinhos: crie um perfil novo ou atualize um existente para a versão mais recente, e revise antes as suas personalizações. Configure NetBIOS settings ficou de fora de propósito, porque hoje só funciona em builds Insider.

Permissões com escopo no controle de acesso baseado em função (GA)

Até agora, quando um grupo de administradores tinha duas atribuições de função na mesma categoria de permissão, o Intune juntava as duas. Exemplo: App Admins com acesso só de leitura aos apps com a tag Headquarters e controle total dos apps com a tag Regional Office acabava com controle total em Headquarters também. Com as permissões com escopo ligadas, as permissões de cada atribuição ficam dentro da própria scope tag.

Duas coisas antes de ligar: rode o Permissions Assessment Report (Tenant administration > Roles > Settings) para ver quais grupos perderiam acesso, e saiba que ligar não tem volta. Veja scope tags e permissões com escopo.

Apple: Setup Assistant (legacy) aposentado

No registro automatizado de dispositivos com afinidade de usuário em iPhone, iPad e Mac, o Setup Assistant (legacy) acabou. Os perfis que usavam essa opção passaram para Setup Assistant with modern authentication, e os dispositivos já registrados continuam registrados. Vale testar o fluxo moderno para saber o que os novos usuários vão ver.

Apple: cargas de trabalho antigas de atualização por MDM removidas

A Apple removeu no OS 27 os comandos MDM antigos de atualização de software, então o Intune removeu essas cargas de trabalho. As atualizações da Apple agora passam pelo gerenciamento declarativo de dispositivos (DDM), que suporta iOS/iPadOS 17 ou posterior e macOS 14 ou posterior. Veja atualizações de software da Apple.

Windows: scripts mais rápidos e um novo endpoint no firewall

O Intune agora usa notificações push quando um script do Windows muda, então os dispositivos sincronizam antes, sem esperar o intervalo normal de consulta. A conectividade push também melhorou para ações de dispositivo, apps Win32, scripts do PowerShell e correções. A Microsoft recomenda liberar este endpoint no seu firewall: *.trouter.communications.svc.cloud.microsoft.

Vale saber

• Saúde do conector de certificados. O centro de administração agora mostra a saúde do Certificate Connector for Intune (Active, Warning, Action required), com orientações para problemas como o conector não alcançar a sua autoridade de certificação ou faltar permissões. Veja a visão geral do conector.
• Linhas de base de auditoria STIG em tenants comerciais. Só auditoria: os dispositivos Windows são comparados com o STIG do Windows 11 (197 regras), com aprovado ou reprovado por configuração e por dispositivo, sem mudar nada. Exige o Intune Advanced Analytics, licenciado além do Intune Plan 1; confira o licenciamento do Intune.
• Proteção em tempo de execução de agentes de IA. O modelo de segurança de endpoint agora está disponível para todos, com uma configuração nova de AI agent runtime inspection. O Defender for Endpoint inspeciona o que os agentes de IA locais leem e fazem (por exemplo instruções ocultas de injeção de prompt) e audita ou bloqueia a ação. Veja AI agent runtime protection.
• Enforce Routes em perfis de VPN da Apple. Escolha Include all networks e Exclude local networks, e o Intune calcula o valor de Enforce Routes para o tráfego não escapar do túnel. Vale para a VPN do dispositivo inteiro, não para a VPN por app.
• Inventário de dispositivos com Apple OS 27. Mais dados de status DDM, como a saúde dos componentes de hardware, o status do cache de conteúdo, o tipo de registro e o modo de bloqueio (Lockdown Mode).
• Licenças VPP ilimitadas. Apps do programa de compras por volume podem ser atribuídos com licenças ilimitadas pelo Apple Business e pelo Apple School Manager.

Rapidinhas

• Ativação de eSIM em massa em dispositivos Android Enterprise corporativos (totalmente gerenciados, dedicados e perfil de trabalho corporativo), até 100 dispositivos por vez no Android 15 ou posterior. Uma limpeza em massa mantém os planos de dados eSIM, a menos que você escolha removê-los.
• Apps referenciados no AOSP: gerencie apps que já estão no dispositivo pelo nome do pacote. Required mostra o app, Uninstall oculta.
• Suporte ao app OEMConfig da MEFERI no Android Enterprise.
• Remote Help para Windows 5.2.1210.0, com melhorias de estabilidade e observabilidade.

A sua lista de outubro

1. Decida sobre o Administrator protection e teste com um piloto.
2. Migre para a linha de base de segurança do Windows 11 26H2.
3. Rode o Permissions Assessment Report antes de ligar as permissões com escopo.
4. Teste o Setup Assistant with modern authentication no ADE da Apple.
5. Leve as atualizações da Apple para o DDM.
6. Libere *.trouter.communications.svc.cloud.microsoft no seu firewall.

Qual dessas dezoito mudanças mais afeta o seu tenant? Conta nos comentários do vídeo.