Microsoft corrige 120 vulnerabilidades en la actualización de mayo de 2026

El 12 de mayo, Microsoft lanzó correcciones para 120 vulnerabilidades, notablemente sin revelar ningún día cero. Sin embargo, los defensores empresariales aún deben abordar una amplia gama de riesgos, incluidos los que afectan el manejo de documentos, la infraestructura de identidad, las plataformas de colaboración, los entornos de virtualización y la red estándar de Windows.

Aspectos destacados del paquete de seguridad de mayo

La actualización del Patch Tuesday de mayo de 2026 incluyó 17 vulnerabilidades críticas, 14 de las cuales eran fallos de ejecución remota de código (RCE). Las organizaciones deben actuar rápidamente para evaluar y desplegar estas actualizaciones en sus sistemas. Los administradores de parches enfrentan un desafío crítico: determinar qué sistemas empresariales pueden acomodar las actualizaciones de la primera ola sin provocar interrupciones en otros lugares.

Complejidad en el parcheo empresarial

Los equipos encargados del parcheo empresarial enfrentan un "problema de orden de parches" multifacético, ya que las actualizaciones de este mes abarcan varios sistemas, incluidos:

• Endpoints de Office
• Controladores de dominio
• Sistemas Windows dependientes de DNS
• Implementaciones de SharePoint
• Hosts de Hyper-V

Cada uno de estos sistemas suele ser gestionado por equipos diferentes, con calendarios de parcheo, procedimientos de reversión y ventanas de mantenimiento distintos. Incluso cuando una sola versión de Microsoft cubre todas estas áreas, coordinar las actualizaciones sigue siendo un desafío operativo.

Comparación con ciclos de parches recientes

En meses anteriores:

• Febrero abordó seis días cero activos.
• Abril involucró 167 vulnerabilidades, incluidas dos días cero.

Si bien mayo de 2026 carece de divulgaciones de días cero, esto no reduce la carga de trabajo para los defensores. Cada actualización reciente ha requerido concesiones entre la velocidad de implementación de emergencia, el riesgo de interrupciones y el tiempo de verificación para los sistemas críticos, lo que aumenta la carga acumulativa de priorización.

Desglose de vulnerabilidades en mayo de 2026

El lanzamiento de mayo de Microsoft incluyó lo siguiente:

• 31 vulnerabilidades de ejecución remota de código
• 61 problemas de elevación de privilegios (EoP)
• 14 fallos de divulgación de información
• 8 vulnerabilidades de denegación de servicio (DoS)
• 6 problemas de omisión de características de seguridad
• 13 vulnerabilidades de suplantación

Entre estas, los fallos de RCE siguen siendo una prioridad, ya que permiten a los atacantes ejecutar código arbitrario, mientras que las vulnerabilidades de EoP añaden complejidad operativa al afectar permisos, límites de administrador y transiciones de usuario a sistema. Los equipos de seguridad deben validar y abordar estas vulnerabilidades antes de pasar de las pruebas piloto al despliegue generalizado.

Sin días cero en mayo: una rareza

Mayo de 2026 marca la primera actualización mensual de seguridad de Microsoft en casi dos años sin ninguna vulnerabilidad de día cero explotada o divulgada públicamente. Durante los últimos 22 meses, Microsoft ha promediado 3.5 días cero por mes, lo que hace que este mes sea más tranquilo pero no necesariamente menos exigente en términos de esfuerzos de remediación.

Vulnerabilidades en Office: una preocupación persistente

A pesar de la ausencia de días cero, las vulnerabilidades relacionadas con Office siguen siendo un enfoque principal. Microsoft abordó fallos en Office, Word y Excel que podrían llevar a RCE, algunos vinculados a riesgos del Panel de Vista Previa. Dado que los empleados suelen previsualizar documentos como facturas, currículums y archivos compartidos, estas vulnerabilidades exigen un esfuerzo de parcheo más amplio que las actualizaciones individuales de aplicaciones.

Además, la actualización de mayo incluye CVE-2026-35421, una vulnerabilidad en Paint donde abrir un Metafile mejorado malicioso podría habilitar la ejecución de código. Los equipos de endpoints también deben priorizar correcciones como CVE-2026-40367, CVE-2026-40366 y CVE-2026-40364, que afectan laptops, estaciones de trabajo compartidas y escritorios virtuales.

Riesgos a nivel de infraestructura

Varias vulnerabilidades en la actualización de mayo representan riesgos significativos para la infraestructura empresarial:

• CVE-2026-41096: Una vulnerabilidad de desbordamiento de búfer en el cliente DNS de Windows con un puntaje CVSS de 9.8. Este fallo de RCE puede ser explotado de forma remota sin autenticación ni interacción del usuario, afectando una amplia gama de sistemas Windows.
• CVE-2026-41089: Un problema crítico en Windows Netlogon con un puntaje CVSS de 9.8, que permite a atacantes no autenticados ejecutar código de forma remota en controladores de dominio. Dado el potencial de fallos de autenticación, parchear los controladores de dominio requiere precaución adicional para evitar interrumpir el acceso a servicios críticos para el negocio.

Preocupaciones en SharePoint y Hyper-V

Las vulnerabilidades de SharePoint siguen siendo una preocupación para los equipos de seguridad empresarial. CVE-2026-40365 expone a los servidores de SharePoint a ataques de RCE, aunque requiere privilegios de Propietario del Sitio. Si bien esto reduce el grupo de atacantes, los defensores deben evaluar la exposición de usuarios privilegiados, la publicación externa y el alcance de colaboración para mitigar riesgos.

En entornos virtualizados, CVE-2026-40402 en Hyper-V introduce un riesgo grave, permitiendo a los atacantes escapar de una máquina virtual invitada al entorno del host y obtener privilegios de SYSTEM. Este tipo de fallo de límite impacta múltiples cargas de trabajo simultáneamente, requiriendo atención inmediata de los equipos de virtualización.

Impactos operativos de la actualización de mayo de 2026

La actualización de mayo empuja a los equipos que gestionan endpoints de Office, sistemas Windows relacionados con DNS, controladores de dominio, servidores de SharePoint y hosts de Hyper-V hacia una ventana de mantenimiento unificada. A pesar de la ausencia de días cero, el alcance y la complejidad de las vulnerabilidades de este mes hacen que sea operativamente exigente para las empresas abordarlas.