Microsoft ha publicat la seua actualització de seguretat corresponent al Patch Tuesday de maig de 2026, en què corregix un elevat nombre de vulnerabilitats que afecten múltiples productes del seu ecosistema, incloent-hi Windows, Windows Server, Microsoft Office, SharePoint, Azure, Dynamics 365, DNS Client, Netlogon, Remote Desktop, Win32k i altres components del sistema.
Segons diferents fonts d’anàlisi, el paquet de maig corregix més de 120 vulnerabilitats, amb un nombre elevat de fallades crítiques. Entre estes s’inclouen múltiples vulnerabilitats d’execució remota de codi, elevació de privilegis, divulgació d’informació, denegació de servici i bypass de mesures de seguretat.
Microsoft no ha informat de vulnerabilitats de dia zero explotades activament ni divulgades públicament en el moment de la publicació d’estes actualitzacions. No obstant això, diverses de les vulnerabilitats corregides presenten un alt potencial d’explotació, per la qual cosa es recomana aplicar els pedaços amb prioritat.
Anàlisi
L’actualització de maig de 2026 corregix vulnerabilitats que afecten diferents productes i components de Microsoft. Una part important de les fallades crítiques està relacionada amb vulnerabilitats d’execució remota de codi, la qual cosa podria permetre a un atacant executar codi en sistemes vulnerables mitjançant arxius especialment dissenyats, respostes malicioses, servicis de xarxa o components exposats.
Entre les vulnerabilitats destacades hi ha fallades que afecten components com Windows Wifi Driver, Azure Cassandra, Windows GDI, Microsoft Office, Word, SharePoint, Netlogon i Windows DNS Client.
Algunes de les vulnerabilitats més rellevants són:
CVE-2026-32161 – Windows Wifi Driver
Vulnerabilitat que afecta el controlador wifi de Windows i que podria permetre execució remota de codi mitjançant una condició de carrera.
CVE-2026-33109 i CVE-2026-33844 – Azure Cassandra
Vulnerabilitats relacionades amb fallades de control d’accés i validació d’entrades en Azure Cassandra, que podrien permetre accions no autoritzades o comprometre la seguretat del servici afectat.
CVE-2026-35421 – Windows GDI
Vulnerabilitat que podria ser explotada mitjançant un arxiu gràfic especialment dissenyat. Un atacant podria aprofitar-la si aconseguix que la víctima òbriga o processe un arxiu maliciós.
Vulnerabilitats en Microsoft Office i Word
Microsoft també ha corregit múltiples fallades en Office i Word, incloent-hi errors de tipus use-after-free i desbordament de memòria (buffer overflow). Este tipus de vulnerabilitats solen requerir que l’usuari òbriga o previsualitze un document especialment dissenyat.
CVE-2026-40365 – Microsoft SharePoint
Vulnerabilitat que podria permetre execució remota de codi amb permisos d’usuari autenticat en entorns Microsoft SharePoint.
CVE-2026-41089 – Netlogon
Vulnerabilitat que afecta el servici Netlogon i que podria permetre execució remota de codi en controladors de domini, pel que resulta especialment rellevant en entorns Active Directory.
CVE-2026-41096 – Windows DNS Client
Vulnerabilitat que podria permetre execució remota de codi mitjançant una resposta DNS maliciosa.
A més de les vulnerabilitats crítiques, Microsoft ha corregit múltiples fallades classificades com a importants, algunes de les quals amb major probabilitat d’explotació. Entre estes destaquen vulnerabilitats d’elevació de privilegis en components clau del sistema, com Kernel de Windows, TCP/IP, Win32k, Remote Desktop i diferents controladors del sistema.
En conjunt, les vulnerabilitats corregides poden permetre:
- Execució remota de codi;
- Elevació de privilegis;
- Divulgació d’informació;
- Denegació de servici;
- Bypass de mesures de seguretat;
- Suplantació;
- Compromís d’estacions de treball i servidors;
- Afectació a servicis corporatius com SharePoint, Azure, Dynamics 365 o Exchange;
- Possible impacte sobre controladors de domini i servicis crítics de xarxa.
Recursos afectats
Les vulnerabilitats afecten múltiples productes i components de l’ecosistema Microsoft, principalment:
Sistemes operatius i components base
Microsoft Windows, Windows Server, Kernel de Windows, Win32k, TCP/IP, Windows DNS Client, Netlogon, Windows GDI, controladors del sistema i Windows Defendre.
Aplicacions d’usuari i productivitat
Microsoft Office, Microsoft Word, Microsoft Edge, Microsoft MSHTML i altres components associats al tractament de documents o contingut web.
Servicis corporatius i plataformes empresarials
Microsoft SharePoint, Microsoft Exchange Server, Microsoft SQL Server, Microsoft Skype for Business, Microsoft Dynamics 365 i productes Azure.
Servicis d’accés remot i administració
Remote Desktop, components d’autenticació, servicis de xarxa i tecnologies utilitzades en entorns corporatius Windows.
Recomanacions
Es recomana aplicar les actualitzacions de seguretat de Microsoft corresponents al Patch Tuesday de maig de 2026 tan prompte com siga possible, prioritzant els sistemes crítics, servidors exposats, controladors de domini i equips amb Microsoft Office instal·lat.
A més, es recomana revisar i actualitzar servicis corporatius afectats, especialment SharePoint, Exchange Server, SQL Server, Dynamics 365 i productes Azure.
També es recomana prestar atenció especialment a components crítics com Netlogon, DNS Client, Remote Desktop, Kernel, TCP/IP i Win32k, així com comprovar mitjançant inventari o ferramentes de gestió quins actius interns utilitzen productes Microsoft afectats.
Després de l’aplicació dels pedaços, es recomana validar que les actualitzacions s’han instal·lat correctament i monitorar esdeveniments relacionats amb autenticació, DNS, Netlogon, SharePoint, Office i Remote Desktop per a trobar activitat sospitosa.
Encara que no s’ha informat d’explotació activa ni de dia zero en esta actualització, l’elevat nombre de vulnerabilitats crítiques i la presència de fallades d’execució remota de codi fan recomanable tractar esta actualització amb prioritat urgent.
Referències
[1] BleepingComputer – Microsoft May 2026 Patch Tuesday fixes 120 flaws, no zero-days
[2] Cisco Talos – Microsoft Patch Tuesday for May 2026
[3] SecurityWeek – Microsoft patches vulnerabilities