Microsoft lanzó parches para 138 vulnerabilidades de seguridad, de las cuales 30 son críticas y afectan a diversos productos como Windows, Azure y Teams. Entre los fallos más graves destacan errores de ejecución de código remoto y escalada de privilegios, algunos detectados mediante un nuevo sistema de inteligencia artificial. Además, la empresa insta a actualizar los certificados de Secure Boot antes del 26 de junio para evitar fallos catastróficos en el arranque.

Microsoft lanzó el martes parches para 138 vulnerabilidades de seguridad https://msrc.microsoft.com/update-guide/releaseNote/2026-May que abarcan su cartera de productos, aunque ninguna de ellas ha sido catalogada como públicamente conocida o bajo ataque activo.

De los 138 fallos, 30 están calificados como Críticos, 104 como Importantes, tres como Moderados y uno como Bajo en severidad. Hasta 61 vulnerabilidades se clasifican como errores de escalada de privilegios, seguidos por 32 de ejecución remota de código, 15 de divulgación de información, 14 de suplantación (spoofing), ocho de denegación de servicio, seis de elusión de funciones de seguridad y dos fallos de manipulación.

La lista de actualizaciones también incluye una vulnerabilidad que fue parcheada por AMD (CVE-2025-54518, puntuación CVSS: 7.3) este mes. Se relaciona con un caso de aislamiento inadecuado de recursos compartidos dentro de la caché de operación de la CPU en productos basados en Zen 2, que podría permitir a un atacante corromper instrucciones ejecutadas en un nivel de privilegio diferente, resultando potencialmente en una escalada de privilegios.

Los parches se suman a 127 fallos de seguridad https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security que Google ha solucionado en Chromium, que constituye la base del navegador Edge de Microsoft.

Una de las vulnerabilidades más graves parcheadas por Redmond es CVE-2026-41096 (puntuación CVSS: 9.8), un fallo de desbordamiento de búfer basado en el montículo que afecta a Windows DNS y que podría permitir a un atacante no autorizado ejecutar código a través de una red.

"Un atacante podría explotar esta vulnerabilidad enviando una respuesta DNS especialmente diseñada a un sistema Windows vulnerable, haciendo que el Cliente DNS procese incorrectamente la respuesta y corrompa la memoria", dijo Microsoft. "En ciertas configuraciones, esto podría permitir al atacante ejecutar código remotamente en el sistema afectado sin autenticación".

Microsoft también corrigió varios fallos calificados como Críticos e Importantes:

• CVE-2026-33109 (CVSS: 9.9) - Control de acceso inadecuado en Azure Managed Instance para Apache Cassandra que permite a un atacante autorizado ejecutar código a través de una red. (No requiere acción del cliente).
• CVE-2026-42898 (CVSS: 9.9) - Vulnerabilidad de inyección de código en Microsoft Dynamics 365 (local) que permite a un atacante autorizado ejecutar código a través de una red.
• CVE-2026-42823 (CVSS: 9.9) - Control de acceso inadecuado en Azure Logic Apps que permite a un atacante autorizado elevar privilegios a través de una red.
• CVE-2026-41089 (CVSS: 9.8) - Desbordamiento de búfer basado en pila en Windows Netlogon que permite a un atacante no autorizado ejecutar código a través de una red sin necesidad de iniciar sesión mediante una solicitud de red diseñada especialmente a un servidor Windows que actúe como controlador de dominio.
• CVE-2026-33823 (CVSS: 9.6) - Autorización inadecuada en Microsoft Teams que permite a un atacante autorizado divulgar información a través de una red. (No requiere acción del cliente).
• CVE-2026-35428 (CVSS: 9.6) - Vulnerabilidad de inyección de comandos en Azure Cloud Shell que permite a un atacante no autorizado realizar suplantaciones a través de una red. (No requiere acción del cliente).
• CVE-2026-40379 (CVSS: 9.3) - Exposición de información sensible a un actor no autorizado en Azure Entra ID que permite realizar suplantaciones a través de una red. (No requiere acción del cliente).
• CVE-2026-40402 (CVSS: 9.3) - Un error de uso después de liberación (user-after-free) en Windows Hyper-V que permite a un atacante no autorizado obtener privilegios de SYSTEM y acceder al entorno del host Hyper-V.
• CVE-2026-41103 (CVSS: 9.1) - Implementación incorrecta del algoritmo de autenticación en Microsoft SSO Plugin para Jira & Confluence que permite a un atacante no autorizado acceder como un usuario válido.
• CVE-2026-33117 (CVSS: 9.1) - Autenticación inadecuada en Azure SDK que permite a un atacante no autorizado eludir una función de seguridad a través de una red.
• CVE-2026-42833 (CVSS: 9.1) - Ejecución con privilegios innecesarios en Microsoft Dynamics 365 (local) que permite ejecutar código y ganar capacidad para interactuar con aplicaciones de otros inquilinos.
• CVE-2026-33844 (CVSS: 9.0) - Validación de entrada inadecuada en Azure Managed Instance para Apache Cassandra que permite ejecutar código a través de una red. (No requiere acción del cliente).

"Esta vulnerabilidad crítica de elevación de privilegios permite a un atacante no autorizado suplantar a un usuario existente presentando credenciales falsificadas, eludiendo así Entra ID", dijo Adam Barnett, ingeniero principal de software de Rapid7, sobre el CVE-2026-41103.

Jack Bicer, director de investigación de vulnerabilidades en Action1, describió CVE-2026-42898 como un fallo crítico que permite a un atacante autenticado con bajos privilegios ejecutar código arbitrario a través de la red manipulando los datos de sesión del proceso dentro de Dynamics CRM.

"Sin necesidad de interacción del usuario, y con el potencial de impactar sistemas más allá del alcance de seguridad original del componente vulnerable, esta vulnerabilidad plantea un riesgo empresarial serio", afirmó Bicer.

"El compromiso de la infraestructura de Dynamics 365 puede exponer registros de clientes, flujos de trabajo operativos, información financiera y sistemas empresariales integrados".

Se recomienda a las organizaciones actualizar los certificados de Windows Secure Boot a sus versiones de 2023 antes del próximo mes, cuando los certificados emitidos en 2011 expiren. Microsoft anunció este cambio en noviembre de 2025.

"La actualización no-CVE más crítica implica el despliegue obligatorio de certificados Secure Boot actualizados", dijo Rain Baker, especialista sénior en respuesta a incidentes de Nightwing. "Los dispositivos que no reciban estas actualizaciones antes de la fecha límite del 26 de junio se enfrentarán a fallos catastróficos de seguridad a nivel de arranque".

Según Satnam Narang, ingeniero de investigación de Tenable, Microsoft ya ha parcheado más de 500 CVE en los primeros cinco meses del año. Este gran volumen de correcciones refleja una tendencia en la industria donde el descubrimiento de vulnerabilidades ha alcanzado nuevos máximos, con una parte de ellas detectadas mediante enfoques impulsados por la inteligencia artificial (IA).

Microsoft, en un informe publicado el martes, afirmó que se espera que el descubrimiento de vulnerabilidades asistido por IA aumente la escala de los lanzamientos de Patch Tuesday en los próximos meses, añadiendo que 16 de los fallos corregidos este mes fueron identificados a través de su nuevo sistema de descubrimiento de vulnerabilidades impulsado por IA multi-modelo, llamado MDASH https://www.microsoft.com/en-us/security/blog/2026/05/12/defense-at-ai-speed-microsofts-new-multi-model-agentic-security-system-tops-leading-industry-benchmark/.

"En el lanzamiento de este mes, una mayor proporción de los problemas abordados fueron descubiertos por Microsoft en comparación con meses anteriores", dijo Tom Gallagher, vicepresidente de ingeniería del Microsoft Security Response Center https://www.microsoft.com/en-us/msrc/blog/2026/05/a-note-on-patch-tuesday.

Microsoft también enfatizó que la escala y velocidad del descubrimiento de vulnerabilidades traído por la IA puede aumentar las demandas operativas y requiere un enfoque disciplinado de gestión de riesgos.

"Manténgase actualizado con los sistemas operativos, productos y parches compatibles", dijo Gallagher. "Realice el triaje por exposición e impacto, no por el recuento bruto".

Otras recomendaciones detalladas por Microsoft incluyen reducir la exposición innecesaria a Internet, mejorar la higiene de la configuración, eliminar la autenticación heredada, habilitar la autenticación multifactor (MFA), aplicar controles de acceso estrictos, segmentar entornos y chipset en detección y respuesta.

"El trabajo de encontrar y corregir vulnerabilidades sigue siendo más rápido, amplio y riguroso en toda la industria", dijo el gigante tecnológico. "Lo que alentamos, a cambio, es una mirada reflexiva sobre si las prácticas que funcionaron bien hace unos años todavía se ajustan a hacia dónde se dirige el panorama".

"Los fundamentos no han cambiado. El ritmo al que deben aplicarse sí está cambiando, y las organizaciones que se ajusten a ello serán las que estén mejor posicionadas para lo que venga".

Fuente:
THN