Microsoft lanzó correcciones para 137 vulnerabilidades, destacando 30 fallos críticos y el uso de su nueva IA, MDASH, para detectar errores. Entre los riesgos más graves se encuentran vulnerabilidades de ejecución remota de código en Windows DNS Client y Netlogon, que requieren parcheo inmediato. A pesar del volumen de fallos, no se han reportado ataques activos y una vulnerabilidad de nivel 10 en Azure DevOps ya fue mitigada.

Microsoft lanzó correcciones para 137 CVE el martes, ninguna de las cuales se sabe que haya sido objetivo de atacantes. Pero las noticias no son del todo buenas, ya que Redmond calificó la friolera de 30 fallos como críticos, con 14 de ellos obteniendo una calificación de gravedad CVSS de 9.0 o superior, incluida una puntuación perfecta de 10.

Además, todos los que celebran el evento mensual de parches recibieron la validación de lo que todos sospechábamos ampliamente el mes pasado: Sí, Redmond (y todos los demás, a efectos prácticos) está utilizando la IA para encontrar muchísimos más errores que nunca. Y eso significa mucho más trabajo para todas las personas que aplican y prueban los parches.

“El lanzamiento de este mes se sitúa en el lado más amplio de un mes de parches urgentes, y esperamos que las versiones sigan tendiendo a ser más grandes durante algún tiempo”, dijo Tom Gallagher, VP de ingeniería del Centro de Respuesta de Seguridad de Microsoft, en una nota sobre el Patch Tuesday de este mes enlace.


Microsoft también afirmó que su sistema de búsqueda de errores con IA, secreto hasta ahora y cuyo nombre en clave es MDASH enlace, encontró 16 de las vulnerabilidades abordadas en el lanzamiento de este mes. Redmond anunció además que pondrá la herramienta a disposición de un número limitado de clientes en una vista previa privada.


En otras palabras: no hay descanso para los administradores de Microsoft este Patch Tuesday de mayo enlace.

Echemos un vistazo a algunos de los errores más desagradables o interesantes que también recibieron algunas de las calificaciones CVSS más altas de este mes, llegando con fuerza en 9.8 y 9.9.

Primero: cve-2026-41096

El primero es el CVE-2026-41096. Se trata de una ejecución remota de código (RCE) crítica del cliente DNS de Windows con una calificación de 9.8, y aunque Redmond dice que la explotación es “improbable”, sugerimos parchearlo lo antes posible. Se debe a un desbordamiento de búfer basado en el montón, y no se necesita autenticación ni interacción del usuario para explotarlo (se hace enviando una respuesta DNS especialmente diseñada a un sistema vulnerable), lo que podría provocar la corrupción de la memoria y RCE.

“Dado que el cliente DNS se ejecuta en prácticamente todas las máquinas Windows, la superficie de ataque es enorme”, advirtió Dustin Childs, jefe de búsqueda de errores de Zero Day Initiative enlace. “Un atacante en posición de influir en las respuestas DNS (MitM, servidor malicioso) podría lograr una RCE no autenticada en toda su empresa”.

Además, podría ocurrir en una gran cantidad de sistemas empresariales muy rápidamente, dijo Jack Bicer, director de investigación de vulnerabilidades de Action1. “Este CVE requiere atención inmediata”, afirmó. “Los ataques exitosos pueden conducir a un compromiso generalizado de los endpoints, despliegue de ransomware, recolección de credenciales e interrupción operativa en las redes corporativas”.

Otro error especialmente grave, el CVE-2026-42898 en los sistemas locales de Microsoft Dynamics 365, alcanzó una calificación CVSS casi perfecta de 9.9 y también conduce a RCE. Cualquier usuario autenticado puede activar esta vulnerabilidad; no requiere privilegios de administrador u otros privilegios elevados.

Como explica Redmond: “Un atacante con los permisos requeridos podría modificar el estado guardado de una sesión de proceso en Dynamics CRM y provocar que el sistema procese esos datos, lo que podría resultar en que el servidor ejecute código malicioso involuntariamente”.

Dado que la explotación podría conducir a un cambio de alcance, lo que significa que el error puede afectar a sistemas más allá del componente vulnerable, es un riesgo bastante serio para las empresas y debe priorizarse. “Los cambios de alcance son bastante raros, por lo que si utiliza Dynamics 365 On-Prem, definitivamente pruebe y despliegue este parche rápidamente”, dijo Childs.


El segundo de los dos errores calificados con 9.8 es el CVE-2026-41089. Es un desbordamiento de búfer basado en la pila en Windows Netlogon que permite a un atacante remoto no autenticado ejecutar código en máquinas vulnerables enviando una solicitud de red especialmente diseñada a un servidor Windows que actúe como controlador de dominio. Como señala Childs: el hecho de que los atacantes puedan explotar este fallo sin credenciales ni interacciones de usuario lo hace capaz de propagarse como un gusano. “Este es el error de mayor impacto que requiere un parcheo inmediato: un controlador de dominio comprometido es un dominio comprometido”, añadió.

El lado positivo este mes para los defensores es que el único CVE que obtuvo una calificación perfecta de 10.0 CVSS se encuentra en Azure DevOps y no requiere que los usuarios corrijan nada.

El CVE-2026-42826 es una vulnerabilidad de divulgación de información en la cadena de herramientas de DevOps que “ya ha sido totalmente mitigada por Microsoft”, según Redmond. “No hay ninguna acción que deban tomar los usuarios de este servicio. El propósito de este CVE es proporcionar mayor transparencia”.

Fuente:
TheRegister