Es el martes de parches para Microsoft y no se vislumbra un día cero

Por primera vez en casi dos años, la actualización de seguridad mensual de Microsoft no contenía ninguna vulnerabilidad de día cero explotada activamente ni vulnerabilidades reveladas previamente.

Pero aparte de ese bienvenido alivio: Microsoft Actualización de mayo de 2026 incluyó correcciones para 137 CVE, 13 de los cuales Microsoft consideró posibles candidatos para explotación y nueve fueron clasificados como críticos. Estos incluyen dos en Microsoft Office Word, donde la ventana de vista previa es un vector de ataque, y otros cinco con puntuaciones de gravedad cercanas al máximo de 9,8 o 9,9 en la escala CVSS de 10 puntos.

500 CVE en 2026 y contando

Este es el tercer mes de este año en el que Microsoft lanza más de 100 CVE en una actualización del martes de parches. En mayo, la compañía ya había parcheado más de 500 CVE, en camino de superar el récord anual de 1245 errores que Microsoft reveló en 2020, dijo Satnam Naranag, ingeniero de investigación senior de Tenable.

Relacionado:Worm Redux: nuevas infecciones por mini-Shai Hulud muerden la cadena de suministro

Los grandes lanzamientos pronto podrían convertirse en la norma, según Tom Gallagher, vicepresidente de ingeniería de Microsoft La IA ayuda a los investigadores a descubrir más vulnerabilidades que antes. «El lanzamiento de este mes se encuentra en el lado más grande de un mes de parches calientes, y esperamos que los lanzamientos sigan siendo tendencia durante algún tiempo», dice Gallagher. dijo en una publicación de blog. «Los modelos avanzados de IA son parte del proceso de descubrimiento y ayudan a acelerarlo. Nos permiten pensar en rutas de código y configuraciones con una velocidad y coherencia que no serían posibles mediante la revisión manual únicamente».

Las dos vulnerabilidades de Microsoft Office Word en la última actualización de Microsoft con el vector de ataque «Ventana de vista previa» son CVE-2026-40361 (CVSS 8.4) y CVE-2026-40364 (CVSS 8.4). La primera es una vulnerabilidad relacionada con la memoria que permite a un atacante remoto ejecutar código localmente en sistemas vulnerables. CVE-2026-40464 también es uno Ejecución remota de código (RCE) error debido a un problema de confusión de tipos. Ninguna de las vulnerabilidades requiere la interacción del usuario. Un atacante puede desencadenar las vulnerabilidades simplemente enviando un documento elaborado con fines malintencionados. «El panel de lectura de Outlook ha sido durante mucho tiempo un vector de ataque común; un único correo electrónico entrante puede desencadenar una explotación sin que el usuario lo abra», advirtió Amol Sarwate, jefe de investigación de seguridad de Cohesity, en un comunicado.

Nueve vulnerabilidades con gravedad casi máxima

Entre las nueve vulnerabilidades en la actualización de mayo con una gravedad de 9.0 o superior (una rareza en los lanzamientos recientes de Microsoft Patch Tuesday) hay tres con una calificación casi máxima de 9.9 sobre 10 en la escala CVSS: CVE-2026-42898, CVE-2026-42823 y CVE-2026-33109.

Relacionado:La convención “TrustFall” expone el riesgo de ejecutar código Claude

De estos, CVE-2026-42898un RCE en Microsoft Dynamics 365 On-Premises, es lo más urgente. La falla de inyección de código permite que un atacante remoto autenticado ejecute código arbitrario. Aunque un atacante no necesita privilegios administrativos ni otros privilegios elevados para aprovechar el ataque, el propio Microsoft ha clasificado la vulnerabilidad como una que es poco probable que sea aprovechada por los atacantes.

Pero Jack Bicer, jefe de investigación de vulnerabilidades de Action1, recomendó que las empresas solucionen el problema inmediatamente de todos modos. «Debido a que no requiere la interacción del usuario y tiene el potencial de afectar los sistemas más allá del alcance de seguridad original del componente vulnerable, esta vulnerabilidad representa un riesgo grave para las organizaciones», dijo en comentarios enviados por correo electrónico. Un atacante que aproveche con éxito la vulnerabilidad puede acceder a datos de clientes, flujos de trabajo operativos, información financiera y sistemas comerciales integrados, explicó. «Debido a que los entornos CRM a menudo están interconectados con servicios de identidad, bases de datos y aplicaciones empresariales, una explotación exitosa podría resultar en un compromiso organizacional más amplio y una interrupción del negocio».

Los otros dos errores con una gravedad de 9,9 afectan a Azure. CVE-2026-42823 es una vulnerabilidad de elevación de privilegios en Azure Logic Apps. Microsoft dijo que la compañía notificará a las organizaciones a través de la notificación de Azure Service Health si se ven afectadas por la vulnerabilidad y brindará consejos de mitigación específicos. CVE-2026-33109 es un RCE que afecta a Azure Managed Instance para Apache Cassandra. Los usuarios no necesitan hacer nada para corregir el error ya que Microsoft ya lo solucionó por completo. «Los usuarios de este servicio no necesitan realizar ninguna acción. El propósito de este CVE es proporcionar una mayor transparencia», dijo Microsoft.

Relacionado:La ingeniería inversa con IA descubre un error fatal en GitHub

Error grave de inicio de sesión en la red

Jason Kikta, investigador de seguridad de Automox, enfatizó CVE-2026-41089, un RCE en inicio de sesión de red de Windows, como otro error que las organizaciones deberían priorizar. «Un atacante envía una solicitud de red diseñada a un controlador de dominio. No se requiere autenticación. No se requiere interacción del usuario. Desafortunadamente, si hace esto el tiempo suficiente, el lenguaje de descripción comenzará a resultarle familiar», dijo Kitka en comentarios preparados. Aconsejó a las empresas que estén alerta ante fallos inesperados o reinicios del servicio Netlogon en sus controladores de dominio. También debe prestar atención a los patrones anómalos de tráfico de Netlogon desde direcciones de origen fuera del controlador de dominio, en particular solicitudes incorrectas, fallas de autenticación o fallas de confianza en el dominio inmediatamente después de que una actividad de red sospechosa llega a un controlador de dominio.

Un total de siete CVE que involucran a Copilot y Azure AI Foundry resaltan la creciente amenaza que representan las herramientas de inteligencia artificial para las empresas, agregó Tyler Reguly, director asociado de investigación y desarrollo de seguridad de Fortra. «¿Somos conscientes de todos los posibles usos de la IA?» En un comunicado por correo electrónico, Regully preguntó y agregó que el 6% de los CVE de este mes estaban basados ​​en IA. «Sabemos que las cifras sólo van a aumentar a partir de aquí», señaló. «¿Qué otras instancias de IA podrían estar en uso en su organización que no sean compatibles con una empresa con un calendario de actualizaciones periódicas como Microsoft?»