Microsoft, en el Patch Tuesday 2026 de mayo, cerró 138 vulnerabilidades en Windows y servicios en la nube, incluidos fallos críticos en Windows DNS, Netlogon, Azure, Dynamics 365 y Entra ID, y al mismo tiempo anunció la rotación forzosa de los certificados de Secure Boot hasta el 26 de junio de 2026; las organizaciones con entornos de dominio, CRM basados en Dynamics y uso activo de Azure deben planificar de inmediato una actualización priorizada, de lo contrario el riesgo de ejecución remota de código y de interrupciones en el arranque de los sistemas crecerá más rápido que la capacidad de los equipos para gestionar los parches.

Detalles técnicos de la versión de mayo de Microsoft

Según el boletín oficial de Microsoft Security Response Center, en la versión de mayo se cerraron 138 vulnerabilidades: 30 críticas, 104 importantes, 3 de gravedad moderada y 1 de baja gravedad. Por tipo, predominan las vulnerabilidades de elevación de privilegios (61 fallos), seguidas de ejecución remota de código (32), divulgación de información (15), falsificación (14), denegación de servicio (8), evasión de mecanismos de seguridad (6) y manipulación de datos (2).

RCE crítica en Windows DNS: CVE-2026-41096

Uno de los problemas más peligrosos es CVE-2026-41096 (CVSS 9.8), un desbordamiento de memoria dinámica (heap) en el componente Windows DNS. El cliente DNS vulnerable procesa de forma errónea una respuesta DNS especialmente manipulada, lo que provoca corrupción de memoria y puede permitir a un atacante remoto ejecutar código arbitrario sin autenticación a través de la red. Los detalles están disponibles en la entrada de MSRC sobre CVE-2026-41096.

La criticidad aquí no se limita a la alta valoración CVSS: el cliente DNS es un componente de red básico, presente prácticamente en cada host. Una respuesta especialmente preparada puede llegar tanto desde un servidor DNS comprometido o malicioso como mediante ataques a nivel de red (suplantación de tráfico, abuso de resolutores internos). Es un punto de entrada típico para la compromisión inicial de una organización.

Netlogon bajo ataque: CVE-2026-41089

CVE-2026-41089 (CVSS 9.8) es un desbordamiento de pila en Windows Netlogon. Según la descripción de MSRC, un atacante no autenticado puede enviar una petición de red especialmente manipulada a un servidor Windows que actúe como controlador de dominio y lograr la ejecución remota de código sin acceso previo ni inicio de sesión en el sistema.

En este caso, el servicio atacado se encuentra en los controladores de dominio, el punto de mayor valor de la infraestructura. Una explotación exitosa implica la posible toma total del dominio, con posterior movimiento lateral en la red, inserción en Kerberos/Entra, control de la directiva de grupo y de los mecanismos de despliegue de software.

Perímetro en la nube: Azure, Entra, Teams, Logic Apps, Cloud Shell

Una serie de vulnerabilidades críticas afectan directamente a los servicios en la nube y a la identidad:

• CVE-2026-42826 (CVSS 10.0): divulgación de información sensible en Azure DevOps. La vulnerabilidad permite a un atacante no autorizado obtener datos a través de la red. Microsoft la ha marcado como un problema para cuya mitigación no se requieren acciones adicionales por parte del cliente, véase la descripción de MSRC.
• CVE-2026-33109 (CVSS 9.9) y CVE-2026-33844 (CVSS 9.0): errores de control de acceso y validación de entrada en Azure Managed Instance for Apache Cassandra, que permiten a un atacante autorizado ejecutar código de forma remota. Están marcadas como no requeridoras de acciones por parte del cliente, véanse CVE-2026-33109 y CVE-2026-33844.
• CVE-2026-42823 (CVSS 9.9): control de acceso incorrecto en Azure Logic Apps, que permite a un usuario autorizado elevar privilegios a través de la red.
• CVE-2026-33823 (CVSS 9.6): error de autorización en Microsoft Teams, que provoca divulgación de información para un atacante autorizado.
• CVE-2026-35428 (CVSS 9.6): inyección de comandos en Azure Cloud Shell, que permite a un atacante no autorizado llevar a cabo falsificación a través de la red.
• CVE-2026-40379 (CVSS 9.3): divulgación de información confidencial y falsificación en Azure Entra ID.
• CVE-2026-33117 (CVSS 9.1): bypass de autenticación en Azure SDK, que ofrece a un atacante no autorizado la posibilidad de eludir un mecanismo de protección a través de la red.

Aunque para varios servicios en la nube Microsoft indica explícitamente «no customer action», ello no elimina la necesidad de revisar la arquitectura de confianza: las vulnerabilidades afectan a la confidencialidad de artefactos de desarrollo, secretos, datos de identidad y tokens de servicio que, en caso de filtración, pueden utilizarse más allá del componente vulnerable en sí.

Aplicaciones críticas de negocio: Dynamics 365 y SSO para Jira/Confluence

CVE-2026-42898 (CVSS 9.9) es una vulnerabilidad de inyección de código en Microsoft Dynamics 365 (on-premises). Según la evaluación de los investigadores, la vulnerabilidad permite a un atacante autorizado con privilegios bajos ejecutar código arbitrario de forma remota manipulando los datos de sesión de los procesos de Dynamics CRM. La compromisión de dicho servidor convierte de facto la aplicación de negocio en una plataforma de ejecución remota de código, potencialmente más allá de los límites de confianza originales.

CVE-2026-42833 (CVSS 9.1) afecta al mismo producto: la ejecución con privilegios excesivos da a un atacante autorizado la posibilidad de ejecutar código a través de la red e interactuar con aplicaciones y datos de otros inquilinos.

Merece una atención especial CVE-2026-41103 (CVSS 9.1) en el Microsoft SSO Plugin for Jira & Confluence. Debido a una implementación incorrecta del algoritmo de autenticación, un atacante no autorizado puede falsificar credenciales e iniciar sesión en Jira/Confluence como un usuario legítimo con todos sus privilegios. Más detalles en la entrada de MSRC sobre CVE-2026-41103.

Hipervisor y componentes de cliente: Hyper-V y otros

CVE-2026-40402 (CVSS 9.3) es una vulnerabilidad de tipo use-after-free en Windows Hyper-V, que permite a un atacante no autorizado obtener privilegios a nivel SYSTEM y acceso al entorno del host. Para infraestructuras con alta densidad de virtualización, esto representa un riesgo directo de escape desde la máquina virtual.

Además, Microsoft indica que en la versión también se incluyen correcciones para el navegador Edge, basadas en 127 vulnerabilidades en Chromium descritas en la documentación de seguridad de Microsoft Edge (release notes de seguridad de Edge).

Nivel de hardware: AMD Zen 2 (CVE-2025-54518)

En la lista de actualizaciones se incluye la vulnerabilidad CVE-2025-54518 (CVSS 7.3), corregida previamente por AMD. Según el boletín AMD-SB-7052, en procesadores Zen 2 un aislamiento incorrecto de los recursos compartidos de la caché de operaciones puede permitir a un atacante influir en las instrucciones que se ejecutan en otro nivel de privilegios, lo que potencialmente conduce a una elevación de privilegios. En la práctica, esto implica la necesidad de una actualización sincronizada del microcódigo/firmware por parte del proveedor de hardware y de parches de software por parte de Microsoft.

Aceleración con IA en la búsqueda de vulnerabilidades: sistema MDASH

Según Microsoft, en los primeros cinco meses de 2026 ya se han corregido más de 500 CVE. En un informe independiente, la compañía indica que una parte significativa de las nuevas vulnerabilidades se detectan mediante sistemas basados en inteligencia artificial. En particular, 16 fallos en la pila de red y autenticación de Windows este mes fueron descubiertos por el nuevo sistema agente multimodelo MDASH (multi-model agentic scanning harness), descrito en el blog de Microsoft Security (detalles sobre MDASH).

En la nota complementaria de MSRC sobre el Patch Tuesday de mayo se subraya que en esta versión la proporción de vulnerabilidades encontradas por la propia Microsoft es superior a la habitual, en gran medida gracias al uso de MDASH y de los procesos de análisis asociados. La consecuencia de ello es una aceleración del ritmo de aparición de parches, especialmente en la pila de red y autenticación, y un aumento de la carga operativa sobre los equipos responsables de las actualizaciones.

Evaluación del impacto en la infraestructura

Están expuestas a mayor riesgo las organizaciones con las siguientes características:

• Uso extendido de Active Directory con servidores DNS propios y controladores de dominio: la combinación de CVE-2026-41096 y CVE-2026-41089 crea una cadena que va desde la intrusión inicial (a través del cliente DNS) hasta la toma completa del dominio (a través de Netlogon).
• Explotación de Dynamics 365 (on-premises) como eslabón central CRM/ERP: un ataque exitoso mediante CVE-2026-42898 y CVE-2026-42833 implica riesgo de fuga de datos de clientes, procesos de negocio, información financiera y posterior compromisión de sistemas integrados (servicios de identidad, bases de datos, aplicaciones externas).
• Uso intensivo de Azure DevOps, Logic Apps, Managed Cassandra, Teams, Cloud Shell, Entra ID: aquí está en juego la confidencialidad de artefactos de desarrollo, tokens de acceso y metadatos de identidad. Incluso cuando no se requieran acciones del cliente, es importante evaluar el modelo de amenazas: la compromisión de datos de servicio puede utilizarse más allá del incidente actual.
• Organizaciones que dependen de SSO en Jira/Confluence a través del plugin de Microsoft: la vulnerabilidad CVE-2026-41103 permite en la práctica eludir la capa de autenticación y utilizar Jira/Confluence como plataforma para moverse a través de cadenas de tareas, repositorios de configuración y documentos.
• Infraestructuras de virtualización basadas en Hyper-V: CVE-2026-40402 afecta directamente a la frontera «invitado–host» y plantea la cuestión de la segmentación de cargas de trabajo con distintos niveles de criticidad.
• Organizaciones con un parque de sistemas que usan Secure Boot con certificados raíz de 2011: según especialistas, la falta de actualización de los certificados antes del 26 de junio de 2026 amenaza con «fallos catastróficos a nivel de arranque» o con el paso a un modo de seguridad reducido.
• Explotación de la plataforma de hardware AMD Zen 2 en entornos con estrictos requisitos de aislamiento (sistemas multiusuario, nubes, hosting): la vulnerabilidad CVE-2025-54518 reduce la garantía de separación de privilegios a nivel de procesador.

Si estos problemas no se resuelven, la organización se enfrenta al riesgo de:

• intrusión remota desde un perímetro cero (DNS, Netlogon);
• compromiso de cadenas de suministro y pipelines DevOps (Azure DevOps, Logic Apps, Cloud Shell);
• fugas masivas de datos de clientes y financieros (Dynamics 365, Entra ID, Teams);
• erosión de la confianza en los medios de arranque y en la integridad de la plataforma (Secure Boot, AMD Zen 2);
• aumento significativo de la carga sobre los equipos de operación debido a la aceleración del ciclo «detección–parcheo», provocada por el uso de sistemas de inteligencia artificial.

Recomendaciones prácticas de respuesta

Priorización de actualizaciones

Teniendo en cuenta la exposición en red y las consecuencias de la explotación, es razonable establecer el siguiente orden de trabajo:

1. Actualizar de inmediato todas las versiones compatibles de Windows, en especial:
   • hosts que desempeñen el papel de clientes/servidores DNS (CVE-2026-41096);
   • todos los controladores de dominio de Active Directory (CVE-2026-41089);
   • hosts con Hyper-V (CVE-2026-40402).
2. Desplegar las actualizaciones para Dynamics 365 (on-premises) que corrigen CVE-2026-42898 y CVE-2026-42833, con pruebas previas en un entorno de ensayo debido al alto nivel de integración del CRM con sistemas externos.
3. Actualizar o reinstalar el Microsoft SSO Plugin for Jira & Confluence que incluya la corrección de CVE-2026-41103, y analizar los registros en busca de actividad de inicio de sesión sospechosa.
4. Comprobar el estado de las actualizaciones en Azure:
   • asegurarse de que las suscripciones y recursos no estén bloqueados para la aplicación automática de actualizaciones en Azure DevOps, Logic Apps, Managed Cassandra, Teams, Cloud Shell y Entra ID;
   • revisar los permisos de las cuentas de servicio y de los tokens, incluso cuando «no se requieran acciones del cliente».
5. Organizar la actualización del navegador Microsoft Edge a la última versión para incorporar las correcciones de 127 vulnerabilidades de Chromium enumeradas en la documentación de seguridad de Edge.
6. Coordinar con los proveedores de hardware la instalación del microcódigo para AMD Zen 2 de acuerdo con el boletín AMD-SB-7052 y asegurarse de que el sistema operativo utilice el microcódigo actualizado.

Rotación de certificados Secure Boot

De aquí al 26 de junio de 2026, las organizaciones deben:

• identificar todos los dispositivos que dependan de certificados Secure Boot de 2011 (mediante inventario de BIOS/UEFI y de las directivas de arranque de Windows);
• desplegar las actualizaciones de Windows que incluyan los nuevos certificados de 2023, tal y como se describe en la nota de MSRC sobre esta versión (comentario de Microsoft sobre Patch Tuesday);
• actualizar el firmware UEFI en servidores y estaciones de trabajo, si el proveedor publica paquetes separados de rotación de claves;
• probar los escenarios de arranque en un grupo de control con distintos modelos de dispositivos antes del despliegue masivo, a fin de minimizar el riesgo de inoperatividad.

Detección de sistemas afectados y endurecimiento de la configuración

Para evaluar la exposición y reducir la superficie de ataque:

• utilizar sistemas de gestión de actualizaciones (WSUS, Microsoft Endpoint Configuration Manager y análogos) para generar informes sobre el estado de los parches de mayo en:
  • controladores de dominio;
  • hosts con Hyper-V;
  • servidores con Dynamics 365 (on-premises) instalado;
  • hosts con el plugin SSO para Jira/Confluence instalado.
• limitar la exposición en red de los servicios Netlogon y del servidor DNS solo a los segmentos necesarios (firewalls, listas de control de acceso).
• revisar la configuración de Entra ID y de las aplicaciones asociadas:
  • desactivar métodos de autenticación heredados u obsoletos;
  • habilitar la autenticación multifactor para todas las cuentas administrativas y de alto riesgo;
  • revisar los permisos delegados de aplicaciones e identificadores de servicio.
• reforzar la segmentación de máquinas virtuales en Hyper-V, separando cargas críticas y no críticas, y limitar el acceso a la administración del hipervisor.

Por último, teniendo en cuenta el aumento del volumen de parches asociado al uso de sistemas de inteligencia artificial como MDASH, tiene sentido formalizar una cadencia de actualizaciones basada en el impacto y la exposición, y no en el número de CVE corregidos: en primer lugar, actualizar los sistemas accesibles desde la red sin autenticación (DNS, Netlogon, Hyper-V, servicios de Azure expuestos a Internet) y los nodos con mayor concentración de datos valiosos (Dynamics 365, Entra ID), planificando en paralelo la rotación de certificados Secure Boot antes de que llegue el plazo estricto del 26 de junio de 2026.