Epic vs Steam vs GOG: 12 critérios, Steam vence

Em outubro de 2026, a Steam recebeu duas levas de relatos de segurança no Windows. A primeira, em 2 de outubro, descreveu a falha BrokenPipe no serviço privilegiado do cliente. A segunda, entre 28 e 30 de outubro, atribuiu à Atredis Partners a divulgação de seis vulnerabilidades no cliente e no serviço da Steam, duas delas de execução remota de código. Nas fontes oficiais consultadas não aparece, até 31 de outubro, nenhum aviso da Valve, nenhum CVE nem nota de versão que confirme a falha BrokenPipe.

No mesmo período, o Epic Games Launcher publicou a versão 0.106.0 em 29 de outubro, depois da 0.105.0 no dia anterior, e lançou em 14 de outubro um Preview reconstruído para Windows, macOS e Linux. A GOG, por sua vez, tirou o site e o Galaxy do ar em 21 de outubro para manutenção, na sequência de relatos de falhas críticas em PHP. Quem tem dois ou três launchers instalados no mesmo PC pergunta, com razão, qual deles deixa a máquina mais exposta.

A resposta curta: nenhuma fonte pública permite declarar um vencedor. Falta um aviso oficial da Valve, falta um boletim de segurança da Epic e a GOG só confirmou uma manutenção. O que existe é um mapa de superfícies de ataque, de modelos de privilégios e de hábitos de atualização. Esse mapa ajuda a comparar as três lojas que disputam a biblioteca do mesmo PC.

Epic Games Launcher, Steam e GOG Galaxy: o ponto de partida em outubro

Os três clientes fazem o mesmo trabalho de base. Autenticam a conta, descarregam jogos, aplicam atualizações, guardam saves na nuvem e lançam executáveis. A diferença está no que cada um precisa de fazer com privilégios elevados para cumprir essas tarefas, e em quanto do seu código corre como serviço de sistema em vez de correr com os direitos do utilizador.

A Steam mantém no Windows um componente em segundo plano, conhecido como Steam Client Service (o ficheiro steamservice.exe), que trata de instalações e de operações ao nível do sistema, como dependências e controladores. É por esse serviço que passam as duas séries de relatos de outubro. Segundo a cobertura disponível, o serviço corre com privilégios SYSTEM, o nível mais alto no Windows, e é essa combinação que transforma uma falha local num problema sério.

O Epic Games Launcher vive hoje em duas vias. Existe a via estabelecida, cujas notas de versão oficiais chegam à 0.106.0, e existe o Preview reconstruído de raiz, anunciado em 14 de outubro e descrito pela própria Epic como um teste inicial, com menos funcionalidades do que o cliente atual. A Epic não indicou, nas fontes consultadas, nenhuma data de versão estável para o Preview. A cobertura aponta apenas para uma versão final prevista em 2027, e essa indicação deve ser lida como relato, não como compromisso.

O GOG Galaxy ocupa um lugar diferente. A GOG descreve nas páginas dos jogos que muitos títulos funcionam com instaladores offline, sem o Galaxy. O cliente serve para conquistas, saves na nuvem e gestão da biblioteca, mas não é uma camada de DRM obrigatória. Em termos de segurança, um cliente que o utilizador pode simplesmente não instalar reduz a exposição de uma forma que nenhum patch consegue igualar.

Há três categorias de informação em jogo: o que as fontes oficiais confirmam, o que a imprensa e investigadores independentes relatam e o que é análise editorial. Sempre que uma afirmação assenta numa só fonte, o texto di-lo. Onde as fontes calam, o texto fica sem números.

Especificações lado a lado: arquitetura e superfície de ataque

A tabela abaixo compara os três launchers em doze dimensões que importam para a segurança. As entradas descrevem estrutura e estado público em 31 de outubro de 2026. Quando a informação vem de relatos e não de uma página oficial, a célula di-lo.

Duas linhas desta tabela explicam quase todo o debate. A primeira é o serviço privilegiado: onde existe um componente SYSTEM que aceita pedidos de utilizadores sem privilégios, existe uma fronteira de confiança que precisa de ser defendida em cada caminho de código. A segunda é a obrigatoriedade. Um launcher que o jogador pode dispensar tem menos probabilidade de estar presente quando surge uma falha.

A ausência de avisos oficiais pesa nos dois sentidos. Para a Steam, significa que os utilizadores não têm uma lista de builds corrigidas nem um identificador CVE para correlacionar com ferramentas de gestão de vulnerabilidades. Para a Epic e a GOG, significa que ninguém pode afirmar que estão limpas, só que nada foi relatado. Ausência de relatos não prova ausência de falhas.

BrokenPipe: a falha no serviço privilegiado da Steam

O que os relatos descrevem

O relatório de 2 de outubro, atualizado em 24 de outubro, descreve BrokenPipe como uma escalada local de privilégios no Windows. Um utilizador sem privilégios conseguiria executar código como NT AUTHORITY\SYSTEM através do Steam Client Service, sem palavra-passe de administrador e sem pedido do Controlo de Conta de Utilizador. Antes disso, uma discussão na comunidade Steam, em 20 e 21 de setembro, já alegava um problema semelhante, afirmava que o Linux não era afetado e dizia que a Valve fora notificada.

A prova de conceito terá sido reproduzida em Windows 10 e Windows 11 com a build 10.96.30.42 da Steam, segundo os relatos. Essa é uma build de teste, não necessariamente a versão atual depois das atualizações de outubro. Dois equívocos circulam e convém desfazê-los. BrokenPipe não é um ataque remoto: o relatório descreve um ataque local, que exige execução de código ou acesso à máquina Windows. E o UAC não bloqueia sempre a escalada: o relatório diz que ela pode ocorrer sem esse pedido.

O que ainda não se sabe

Não existe, nas fontes oficiais consultadas, um aviso da Valve sobre BrokenPipe. A atualização estável de 21 de outubro corrigiu um diálogo de erro de serviço Steam que aparecia por engano após fechar e reabrir o cliente depressa, e atualizou as listas de revogação de certificados. As notas não dizem que essa atualização resolve a escalada de privilégios, por isso ninguém deve tratá-la como confirmação de correção. O relato de 31 de outubro diz apenas que as falhas foram corrigidas ou passaram os respetivos prazos de divulgação, sem identificar builds.

Também falta saber quantos utilizadores têm o serviço numa configuração vulnerável, e se existe exploração ativa. Nenhuma fonte consultada relata ataques reais com BrokenPipe. O risco prático para um utilizador doméstico passa por cenários em que um atacante já tem um pé na máquina, por exemplo através de malware executado com direitos normais, um tema que se cruza com a análise de malware na Steam e com a discussão sobre CVE no anti-cheat. Uma escalada local transforma esse acesso modesto em controlo total.

Para a análise, o ponto central é a classe do problema e não o nome. Serviços SYSTEM que leem caminhos e scripts fornecidos por quem os invoca têm um histórico conhecido de erros nesta família: caminhos de instalação mal restringidos, carregamento de módulos antigos, ligações simbólicas. O relatório descreve precisamente uma raiz de instalação escolhida pelo chamador sem restrição suficiente, o que permitiria a um fluxo de instalação assinado executar um lançador controlado pelo atacante a partir de outro caminho.

Porque falham os serviços privilegiados dos launchers: o modelo de ameaça

Um launcher precisa de instalar ficheiros em pastas protegidas, registar controladores, instalar bibliotecas de execução e, por vezes, capturar o ecrã para streaming. Um utilizador sem privilégios não pode fazer nada disto no Windows. A solução clássica é um serviço de sistema que faz o trabalho em nome do utilizador, e é aí que nasce o problema: o serviço aceita pedidos de quem tem menos direitos do que ele próprio.

Em segurança, chama-se a isto um problema de agente confuso. O serviço tem autoridade e o chamador não. Se o serviço aceita do chamador um caminho, um nome de ficheiro ou um script sem o validar por completo, o chamador empresta a autoridade do serviço para fazer o que não podia. A descrição pública de BrokenPipe encaixa nesse molde, com a raiz de instalação escolhida pelo chamador como ponto de partida. Os relatos da Atredis acrescentam o carregamento de módulos antigos e a instalação de controladores, duas áreas em que o Windows já impôs regras mais duras durante anos.

O atacante tem de estar na máquina. Isso parece tranquilizador, mas a lista de formas de lá chegar é longa: um executável descarregado de um fórum de mods, uma extensão de navegador maliciosa, um documento aberto com uma falha, uma conta de convidado deixada num PC partilhado. Cada uma dá, na melhor das hipóteses para o atacante, direitos de utilizador normal. A escalada local de privilégios é o passo que converte esse acesso fraco em controlo da máquina: desativar o antivírus, ler credenciais de outras contas, instalar persistência.

Os launchers acrescentam uma camada própria a este modelo. Guardam sessões autenticadas, tokens de acesso a lojas com cartões associados e listas de amigos. Um atacante com acesso SYSTEM não precisa de quebrar a palavra-passe da conta de jogos, porque lê os ficheiros de sessão diretamente. Daí a importância de rever os dispositivos autenticados e terminar sessões antigas, conselho que os relatos de 30 de outubro repetem para a Steam.

O que reduz o risco sem esperar por um patch

Quatro hábitos baixam o risco de uma escalada local, qualquer que seja o launcher. Usar uma conta de Windows sem privilégios de administrador para o dia a dia limita o que o malware consegue fazer logo à partida. Manter o Windows e o launcher atualizados fecha as falhas que já têm correção. Instalar mods e programas só de fontes que se conhecem corta a via de entrada mais comum. E desinstalar launchers que ninguém usa tira um serviço da lista de coisas a defender.

Nenhum destes hábitos depende de a Valve, a Epic ou a GOG publicarem um aviso. São medidas de higiene que valem para os três clientes, e o seu custo é baixo. A diferença entre um PC doméstico e um parque de máquinas está apenas na escala: o utilizador doméstico aplica-as à mão, o administrador aplica-as por política de grupo e vigia os desvios com regras de deteção.

As seis falhas atribuídas à Atredis Partners: o que muda para a Steam

Entre 28 e 31 de outubro, a Atredis Partners terá divulgado seis vulnerabilidades nos componentes Windows da Steam, segundo a SC Media e outros relatos. Duas são de execução remota de código sem interação do utilizador entre computadores com sessão iniciada na mesma conta Steam. As outras quatro são caminhos de escalada local de privilégios que passam pelo serviço do Windows. Tudo isto assenta em cobertura de imprensa especializada, por isso o texto usa o condicional onde a Valve não confirmou.

Os relatos associam as falhas locais a quatro áreas: scripts de instalação, carregamento de módulos antigos, componentes de captura do ambiente de trabalho seguro e processos de instalação de controladores. A lista mostra uma coisa útil para quem avalia risco. O serviço da Steam faz muito mais do que instalar jogos. Instalar um controlador ou capturar um ecrã protegido são operações que o Windows reserva a código de confiança, e cada uma delas abre um caminho que um atacante local pode tentar usar.

As duas falhas remotas merecem leitura separada. O cenário descrito exige que dois computadores partilhem a mesma conta Steam, o que reduz o universo de alvos a quem usa a conta em vários PC, num portátil e numa máquina de secretária, por exemplo. Reduz, mas não elimina: é uma situação comum entre jogadores, e um dos PC pode ser menos cuidado do que o outro. A cobertura não diz que alguém tenha explorado estas falhas em ataques reais.

Até 30 de outubro, a cobertura indicava que a Valve não tinha respondido publicamente às divulgações mais amplas. Isso não prova inércia. As empresas costumam corrigir antes de comentar, e o relato de 31 de outubro menciona falhas já corrigidas ou com prazo de divulgação ultrapassado. O problema é de comunicação: sem uma lista de versões corrigidas, o utilizador não consegue verificar se a sua instalação está protegida. A recomendação prática, repetida pelos relatos de 30 de outubro, é usar a opção de verificar atualizações do cliente Steam, reiniciar o cliente e rever os dispositivos autenticados na conta.

Para equipas de segurança e para gestores de parques de jogo (cibercafés, escolas, laboratórios de esports), a leitura é mais dura. Um serviço SYSTEM com relatos de falhas em duas ondas no mesmo mês justifica regras de deteção específicas. A regra mais simples vigia processos filhos invulgares de steamservice.exe, em particular interpretadores de comandos, motores de scripts e executáveis sem assinatura lançados a partir de pastas fora do comum.

Epic Games Launcher: Preview reconstruído e versão 0.106.0

O Epic Games Launcher está, em 31 de outubro, em plena transição. As notas de versão oficiais listam a 0.106.0 em 29 de outubro. Essa versão melhorou a filtragem de plugins do Fab por versão do Unreal Engine, corrigiu o arranque no Linux quando o chaveiro do sistema estava bloqueado, resolveu notificações de chat no Linux e melhorou o carregamento da biblioteca e das capas em ligações lentas. A 0.105.0, de 28 de outubro, juntou a instalação de um jogo e dos DLC que o utilizador possui numa só operação. Para quem usa o launcher para instalar o motor, o fluxo do Unreal Engine 5.8 passa por estas versões.

O Preview reconstruído é outra história. A Epic lançou-o em 14 de outubro para Windows, macOS e Linux, com biblioteca e barra de navegação redesenhadas, voz em grupo nas Epic Parties, descargas melhoradas e deteção de jogos instalados pela Steam e pela app Xbox. A própria Epic admitiu a natureza do código: segundo o The Verge, a empresa descreveu o novo launcher como “vibe coded”, ou seja, escrito com forte apoio de IA. A cobertura sublinha que isso não prova nenhuma falha de segurança. Descreve um método de desenvolvimento e nada mais.

Do ponto de vista de segurança, três aspetos pesam. Primeiro, o Preview é software em fase inicial, com paridade incompleta face ao cliente atual. Segundo, a instalação do Preview remove, segundo os relatos, o launcher anterior, e a Epic terá recomendado manter o cliente antigo para Fortnite e Rocket League durante o período de teste. Terceiro, a Epic anunciou em 14 de outubro a versão 2 do Easy Anti-Cheat para Linux, o que alarga a superfície em que o ecossistema Epic opera, mas não prova que o launcher tenha cliente Linux estável.

O que a Epic não disse sobre segurança

Nas fontes consultadas não existe um boletim de segurança da Epic, uma avaliação de CVE nem uma descrição pública do modelo de privilégios do launcher. Também não existe qualquer declaração da Epic sobre BrokenPipe. As notas de versão documentam correções de funcionalidade e suporte de plataformas, e nada mais. Essa lacuna impede duas conclusões opostas. Ninguém pode dizer que a Epic é mais segura do que a Steam, e ninguém pode dizer o contrário.

O ritmo das versões ajuda a ler o risco. Entre 22 e 29 de outubro surgiram várias versões, com correções a incidir sobre a loja, o checkout, as descargas e o Linux. Um calendário assim apressa a correção de erros e também aumenta a hipótese de regressões. Para um utilizador doméstico, o efeito prático é positivo, porque o launcher se atualiza sozinho. Para um administrador, é um alvo móvel: validar uma versão antes de a libertar deixa de ser viável quando a seguinte chega no dia imediato.

GOG Galaxy: cliente opcional e manutenção de 21 de outubro

O GOG Galaxy continua a ser, em 31 de outubro, um launcher opcional para Windows. A GOG afirma nas páginas dos jogos que muitos títulos se instalam e jogam com instaladores offline, sem o Galaxy, e as funções do cliente, como conquistas e saves na nuvem, ficam descritas como complementos. Para quem prefere o menor número possível de programas residentes, esta é a diferença de arquitetura mais relevante entre os três.

O episódio de segurança da GOG em outubro foi de infraestrutura, não de cliente. Em 21 de outubro, o site e o Galaxy foram retirados do ar para manutenção, depois de relatos de falhas críticas em PHP, segundo uma só fonte. Os detalhes técnicos não constam das fontes consultadas, e a GOG não os publicou nesses termos. O que se confirma é a interrupção e o regresso do serviço. Uma paragem planeada para corrigir o lado do servidor é, em regra, melhor sinal do que o silêncio, embora a transparência fique aquém do que um relatório pós-incidente daria.

No campo do Linux, a GOG anunciou em 31 de julho que o Galaxy ia chegar ao Linux, mas nenhuma versão numerada tinha sido lançada até 31 de outubro. Em paralelo, o programa de preservação da GOG continuou a crescer: segundo o GamingOnLinux, entraram mais cinco clássicos no programa em outubro. Esse trabalho reforça a mensagem de que a GOG vende jogos que o utilizador guarda e instala sem depender do cliente.

A opção offline tem um custo de segurança que merece franqueza. Sem o cliente, o utilizador perde as atualizações automáticas e passa a gerir os patches à mão. Um instalador descarregado há dois anos e guardado num disco pode trazer uma versão do jogo com falhas conhecidas. A superfície de ataque do launcher desaparece, mas a responsabilidade pela atualização do próprio jogo passa para o jogador.

Desempenho e arranque: o que cada fonte mediu

Desempenho e segurança cruzam-se mais do que parece. Um launcher lento tende a ser um launcher com mais código a correr em segundo plano, e as correções de fugas de memória e de falhas raras que a Steam publicou em outubro mostram que o cliente é complexo. Os números disponíveis são, quase todos, do próprio fabricante, e é preciso tratá-los como tal.

A Epic afirmou que o Preview chega à página da loja 46% mais depressa do que a Steam, com 5,47 segundos contra 10,07 segundos desde o arranque até à loja. Foi a Epic que mediu e foi a Epic que publicou, e a Tom’s Hardware repetiu o número com a ressalva de que o Preview não é recomendado a jogadores competitivos. O PC Gamer e o PC Guide noticiaram a mesma alegação. Representantes da Epic acrescentaram que a biblioteca carrega até 30 vezes mais depressa e que o arranque a frio demora até metade do tempo, valores que também não têm medição independente nas fontes consultadas.

A tabela deixa a lacuna à vista. Há três fontes de imprensa a repetir um benchmark do fabricante, nenhuma a repeti-lo em laboratório, e nenhum teste de segurança comparativo de qualquer dos três clientes. Quem escolher um launcher pela velocidade de arranque escolhe com base numa apresentação de marketing. Quem o escolher pela segurança escolhe com base em ausência de relatos.

Preços, planos e custo real de cada launcher

Nenhum dos três clientes tem, nas fontes consultadas, um preço oficial de licença ou de subscrição. O Epic Games Launcher é descrito como gratuito de descarregar, incluindo o Preview para Linux, sem plano pago separado. Para a Steam e a GOG, as fontes oficiais consultadas não identificam preço de cliente nem plano pago do próprio launcher. O custo real vem de outro lado: dos jogos, do tempo de gestão e do risco assumido.

A Epic mantém os jogos grátis semanais, entre eles TerraScape e Out of Sight entre 8 e 15 de outubro, e Sorry We’re Closed até 5 de novembro, a par de uma promoção de Halloween com descontos até 80% entre 19 de outubro e 2 de novembro, segundo a cobertura. Essa estratégia enche bibliotecas, e bibliotecas cheias prendem o jogador ao launcher. A oferta para telemóvel incluiu um jogo de terror grátis da Epic no Android e no iPhone.

O ponto de segurança desta tabela é a última linha. Gerir três launchers custa tempo, e cada um acrescenta um serviço, uma conta e uma superfície de atualização. Um orçamento de atenção finito leva a atualizações adiadas, e atualizações adiadas são o terreno onde as falhas conhecidas se tornam falhas exploradas.

Seis casos reais de outubro de 2026 em linha cronológica

A comparação ganha com factos datados. Os casos abaixo reúnem o que as fontes consultadas confirmam ou relatam, por ordem cronológica, e cada um mostra uma faceta diferente do risco de ter um launcher no PC.

1. 20 e 21 de setembro, alerta na comunidade Steam. Uma discussão pública alegou uma escalada de privilégios no Steam Client Service, com execução de carga útil como SYSTEM, e disse que a Valve fora notificada. Foi o primeiro sinal, anterior ao relatório técnico.
2. 2 de outubro, relatório BrokenPipe. O relatório descreveu o ataque local sem UAC e sem palavra-passe de administrador, com testes em Windows 10 e 11. Foi atualizado em 24 de outubro.
3. 14 de outubro, Preview do Epic Games Launcher. A Epic reconstruiu o launcher para três sistemas operativos. Não houve incidente de segurança, mas o caso mostra uma empresa a mudar de raiz o código de um cliente que guarda credenciais e processa pagamentos.
4. 21 de outubro, atualização estável da Steam e manutenção da GOG. No mesmo dia, a Valve publicou uma atualização do cliente com listas de revogação de certificados atualizadas, e a GOG retirou o site e o Galaxy do ar por causa de relatos de falhas críticas em PHP.
5. 28 a 31 de outubro, seis falhas atribuídas à Atredis. Duas de execução remota de código entre PC com a mesma conta e quatro de escalada local, segundo a cobertura. A Valve não tinha respondido publicamente até 30 de outubro.
6. 29 de outubro, Epic Games Launcher 0.106.0. Uma correção de arranque no Linux quando o chaveiro do sistema está bloqueado mostra que a gestão de credenciais locais é um ponto sensível do cliente, mesmo numa versão de manutenção.

O padrão que atravessa os seis casos é a assimetria de informação. A Steam tem mais relatos porque tem mais investigadores a olhar para ela, e isso não significa que o seu código seja pior do que o dos rivais. Um cliente com muita atenção externa expõe os defeitos mais cedo. Um cliente com pouca atenção pode esconder defeitos iguais durante mais tempo.

Pontos fortes e fracos de cada launcher

Os pontos fortes da Steam existem e merecem peso. Uma empresa que publica notas de versão com correções de fugas de memória, de falhas raras e de erros de serviço está a manter o cliente ativamente. O problema não está na manutenção, está na comunicação de segurança. Sem uma lista de builds corrigidas, a pergunta mais simples de um utilizador (estou protegido?) fica sem resposta verificável.

Na Epic, o ponto fraco principal é a incerteza. O Preview reconstruído concentra novo código em funções sensíveis (autenticação, pagamentos, instalação), e o histórico de qualquer código novo é curto. O mais prudente é manter o launcher estabelecido para o que é crítico enquanto o Preview amadurece. Na GOG, a fragilidade é o oposto: pouco código de cliente para criticar, mas pouca transparência quando algo corre mal.

Qual launcher escolher consoante o perfil

Seis perfis cobrem a maioria dos casos. Em todos, a recomendação parte do que as fontes sustentam em 31 de outubro e muda se a Valve, a Epic ou a GOG publicarem avisos novos.

• Jogador doméstico com um só PC. Mantém a Steam, porque é onde está a biblioteca, e verifica as atualizações do cliente todas as semanas até a Valve comunicar as correções. Usa uma conta de Windows sem privilégios de administrador para o dia a dia.
• Jogador que partilha a conta Steam em vários PC. É o perfil mais exposto às duas falhas remotas relatadas. Revê os dispositivos autenticados na conta, termina sessões antigas e evita iniciar sessão em máquinas que não controla. A revisão das proteções da própria conta também é importante.
• Quem quer o mínimo de software residente. Prefere os instaladores offline da GOG e dispensa o Galaxy. Troca a comodidade das atualizações automáticas por uma superfície de ataque menor, e assume a gestão manual dos patches dos jogos.
• Jogador de Linux. A Steam tem cliente de 64 bits em contentor segundo os relatos, a Epic tem suporte nativo no Preview e a GOG só anunciou. A discussão de setembro dizia que BrokenPipe não afetava o Linux, mas essa é uma alegação, não uma garantia.
• Administrador de um cibercafé ou laboratório. Trata o Steam Client Service como componente de risco, aplica as regras de deteção para processos filhos de steamservice.exe e bloqueia a instalação de launchers adicionais por utilizadores comuns. Valida versões da Epic com mais frequência do que o habitual.
• Criador de jogos e utilizador do Unreal Engine. Precisa do launcher da Epic para o motor e para o Fab, que tem integração no launcher em Windows e Mac. Mantém o cliente estabelecido, separa a máquina de desenvolvimento da de jogo e evita instalar plugins de origem duvidosa.

Um conselho vale para todos: um launcher a menos é um serviço a menos. Quem tem três clientes e só usa um para jogar a sério ganha segurança ao desinstalar os outros, e os jogos de que precisa continuam acessíveis nas respetivas lojas.

Guia de migração e endurecimento em seis passos

Passo a passo para o Preview da Epic e para a Steam

1. Inventaria os clientes. Abre as definições de aplicações do Windows e lista Steam, Epic e GOG Galaxy. Desinstala o que não usas.
2. Atualiza a Steam. No cliente, usa a opção de verificar atualizações, reinicia e confirma que a versão não ficou pendente. Revê os dispositivos autenticados na conta.
3. Verifica o serviço privilegiado. Confirma se o Steam Client Service está ativo e que processos filhos lança (comandos abaixo).
4. Decide sobre o Preview da Epic. Se instalares o Preview, os relatos indicam que o launcher anterior é removido e que compras, jogos instalados e saves na nuvem se mantêm. A Epic terá recomendado manter o cliente antigo para Fortnite e Rocket League durante o teste.
5. Preserva os jogos ao desinstalar. Segundo as notas do Preview, a versão 0.100.0 acrescentou a opção de manter os jogos instalados ao desinstalar o launcher. Usa-a antes de remover o cliente.
6. Considera o instalador offline da GOG. Para jogos que já tens na GOG, guarda os instaladores num disco separado e dispensa o Galaxy. Se quiseres uma vista única da biblioteca, o Playnite unifica cinco lojas de jogos sem exigir que todos os clientes fiquem abertos.

Comandos de verificação no PowerShell

Os comandos abaixo só leem informação e não alteram nada no sistema. O primeiro verifica o estado do serviço da Steam, o segundo lista processos steamservice.exe e respetivos filhos, e o terceiro confirma se a conta atual pertence ao grupo de administradores. Corre-os numa consola do PowerShell normal.

Get-Service -DisplayName "Steam Client Service" | Select-Object Status, StartType, Name; $svc = Get-CimInstance Win32_Process -Filter "Name="steamservice.exe""; foreach ($p in $svc) { Get-CimInstance Win32_Process -Filter "ParentProcessId=$($p.ProcessId)" | Select-Object Name, ProcessId, ExecutablePath }; whoami /groups | findstr /i "S-1-5-32-544"

Num sistema saudável, o segundo comando não devolve filhos suspeitos. Uma consola de comandos, um motor de scripts ou um executável sem assinatura lançado por steamservice.exe a partir de uma pasta fora do comum merece investigação. Em ambientes geridos, o mesmo critério traduz-se numa regra de deteção sobre a criação de processos com esse processo pai.

Balanço em 31 de outubro

Os dados disponíveis em 31 de outubro de 2026 resumem-se a poucos números. Há seis falhas atribuídas à Atredis na Steam, mais um relatório BrokenPipe, e zero avisos oficiais de segurança nos três launchers. A Epic chegou à versão 0.106.0 e anunciou um Preview com uma alegação de arranque 46% mais rápido do que a Steam. A GOG tem um incidente de manutenção e uma arquitetura que permite dispensar o cliente. Nenhum teste independente compara a segurança dos três.

O veredicto assenta em arquitetura, não em estatísticas de incidentes. O GOG Galaxy ganha em superfície de ataque, porque o jogador pode não o instalar. O Epic Games Launcher fica em terreno incerto: sem relatos de falhas, mas sem transparência de segurança e com um Preview novo por amadurecer. A Steam é a que pede ação já: atualizar, rever dispositivos e vigiar o serviço privilegiado, enquanto a Valve não publicar uma lista de builds corrigidas. O Preview da Epic só merece instalação em máquinas onde um problema não custe caro.

Esta avaliação muda com um único aviso de segurança bem escrito, de qualquer das três empresas. Até lá, o critério sensato é reduzir a exposição: menos clientes, menos privilégios, mais atualizações. O enquadramento mais amplo é o das falhas e ameaças que cruzam estes temas.

Perguntas frequentes sobre a segurança dos launchers

A falha BrokenPipe da Steam já foi corrigida?

Não há confirmação oficial. A Valve lançou uma atualização do cliente em 21 de outubro, mas as notas descrevem outras correções, e as fontes consultadas não identificam as builds que tratam de BrokenPipe. Atualiza o cliente e acompanha os anúncios da Valve.

BrokenPipe permite que alguém ataque o meu PC pela internet?

Não por si só. O relatório descreve um ataque local, que exige execução de código ou acesso ao PC. As duas falhas remotas atribuídas à Atredis são outra matéria e, segundo os relatos, exigem computadores com a mesma conta Steam.

O Epic Games Launcher é mais seguro do que a Steam?

Nenhuma fonte consultada permite dizê-lo. Não há relatos de falhas de segurança no launcher da Epic em outubro, mas também não há boletim de segurança nem descrição do modelo de privilégios. Ausência de relatos não é prova de segurança.

Devo instalar o Preview do novo launcher da Epic?

Só se aceitares um software em fase inicial. A própria Epic descreveu-o como um teste com menos funcionalidades do que o cliente atual, e a Tom’s Hardware notou que não é recomendado a jogadores competitivos. Para o PC principal, o launcher estabelecido é a escolha mais prudente.

O GOG Galaxy é obrigatório para jogar jogos da GOG?

Não. A GOG indica nas páginas de jogos que muitos títulos funcionam com instaladores offline sem o Galaxy. O cliente fica reservado a conquistas, saves na nuvem e gestão da biblioteca.

Como sei se o serviço da Steam lança processos suspeitos?

Corre os comandos do PowerShell do guia e procura processos filhos de steamservice.exe como consolas de comandos, motores de scripts ou executáveis sem assinatura. Em ambientes geridos, cria uma regra de deteção sobre esse processo pai.

Quando sai a versão estável do novo launcher da Epic?

A Epic não publicou uma data nas fontes consultadas. A cobertura aponta para uma versão estável prevista em 2027, mas é um relato e não um compromisso da empresa.