Microsoft naprawia 120 luk w aktualizacji z maja 2026 roku

12 maja Microsoft wydał poprawki dla 120 luk, co warto zauważyć, nie ujawniając żadnych zero-day. Jednak obrońcy przedsiębiorstw nadal muszą zmierzyć się z szerokim zakresem ryzyk, w tym tych dotyczących obsługi dokumentów, infrastruktury tożsamości, platform współpracy, środowisk wirtualizacji oraz standardowej sieci Windows.

Najważniejsze elementy majowego pakietu bezpieczeństwa

Aktualizacja Patch Tuesday z maja 2026 roku obejmowała 17 krytycznych luk, z których 14 to luki umożliwiające zdalne wykonanie kodu (RCE). Organizacje muszą działać szybko, aby ocenić i wdrożyć te aktualizacje we wszystkich swoich systemach. Menedżerowie poprawek stoją przed krytycznym wyzwaniem: określenie, które systemy biznesowe mogą obsłużyć pierwszą falę aktualizacji bez powodowania awarii w innych miejscach.

Złożoność w łataniu przedsiębiorstw

Zespoły zajmujące się łataniem w przedsiębiorstwach stają przed wieloaspektowym „problemem kolejności łatania”, ponieważ aktualizacje z tego miesiąca obejmują różne systemy, w tym:

• punkty końcowe Office
• kontrolery domeny
• systemy Windows zależne od DNS
• wdrożenia SharePoint
• hosty Hyper-V

Każdy z tych systemów jest często zarządzany przez różne zespoły, z odrębnymi harmonogramami łatania, procedurami cofania i oknami serwisowymi. Nawet jeśli pojedyncze wydanie Microsoftu obejmuje wszystkie te obszary, koordynacja aktualizacji pozostaje wyzwaniem operacyjnym.

Porównanie z niedawnymi cyklami poprawek

W poprzednich miesiącach:

• W lutym zaadresowano sześć aktywnych zero-day.
• Kwiecień obejmował 167 luk, w tym dwie zero-day.

Chociaż maj 2026 nie zawiera ujawnień zero-day, nie zmniejsza to obciążenia dla obrońców. Każda z ostatnich aktualizacji wymagała kompromisów między szybkością wdrażania w sytuacjach awaryjnych, ryzykiem awarii a czasem weryfikacji dla krytycznych systemów, co zwiększa kumulacyjne obciążenie związane z ustalaniem priorytetów.

Podział luk w maju 2026

Majowe wydanie Microsoftu obejmowało:

• 31 luk umożliwiających zdalne wykonanie kodu
• 61 problemów z eskalacją uprawnień (EoP)
• 14 luk ujawniających informacje
• 8 luk typu odmowa usługi (DoS)
• 6 problemów z obejściem funkcji bezpieczeństwa
• 13 luk związanych z podszywaniem się

Wśród nich luki RCE pozostają priorytetem, ponieważ umożliwiają atakującym wykonanie dowolnego kodu, podczas gdy luki EoP zwiększają złożoność operacyjną, wpływając na uprawnienia, granice administratora i przejścia użytkownik-system. Zespoły ds. bezpieczeństwa muszą zweryfikować i zaadresować te luki, zanim przejdą od testów pilotażowych do szerokiego wdrożenia.

Brak zero-day w maju: rzadkie zjawisko

Maj 2026 to pierwsza miesięczna aktualizacja zabezpieczeń Microsoftu od prawie dwóch lat, która nie zawiera żadnych wykorzystywanych ani publicznie ujawnionych luk zero-day. W ciągu ostatnich 22 miesięcy Microsoft średnio ujawniał 3,5 zero-day miesięcznie, co sprawia, że ten miesiąc jest spokojniejszy, ale niekoniecznie lżejszy pod względem wysiłków naprawczych.

Luki w Office: ciągły problem

Pomimo braku zero-day, luki związane z Office pozostają głównym obszarem zainteresowania. Microsoft zaadresował luki w Office, Word i Excel, które mogłyby prowadzić do RCE, z niektórymi związanymi z ryzykiem z podglądu w okienku podglądu. Ponieważ pracownicy często podglądają dokumenty takie jak faktury, CV i udostępnione pliki, te luki wymagają szerszego wysiłku w zakresie łatania poza indywidualnymi aktualizacjami aplikacji.

Dodatkowo majowa aktualizacja obejmuje CVE-2026-35421, lukę w Paint, gdzie otwarcie złośliwego pliku Enhanced Metafile może umożliwić wykonanie kodu. Zespoły ds. punktów końcowych muszą również priorytetowo traktować poprawki takie jak CVE-2026-40367, CVE-2026-40366 i CVE-2026-40364, które dotyczą laptopów, współdzielonych stacji roboczych i wirtualnych pulpitów.

Ryzyka na poziomie infrastruktury

Kilka luk w majowej aktualizacji stanowi poważne zagrożenie dla infrastruktury przedsiębiorstw:

• CVE-2026-41096: Luka przepełnienia bufora na stercie w kliencie DNS systemu Windows z wynikiem CVSS wynoszącym 9,8. Ta luka RCE może być wykorzystywana zdalnie bez uwierzytelnienia lub interakcji użytkownika, wpływając na szeroką gamę systemów Windows.
• CVE-2026-41089: Krytyczny problem w Windows Netlogon z wynikiem CVSS wynoszącym 9,8, pozwalający nieautoryzowanym atakującym na zdalne wykonanie kodu na kontrolerach domeny. Biorąc pod uwagę potencjalne problemy z uwierzytelnianiem, łatanie kontrolerów domeny wymaga szczególnej ostrożności, aby uniknąć zakłóceń w dostępie do krytycznych usług biznesowych.

Obawy dotyczące SharePoint i Hyper-V

Luki w SharePoint nadal stanowią problem dla zespołów ds. bezpieczeństwa przedsiębiorstw. CVE-2026-40365 naraża serwery SharePoint na ataki RCE, choć wymagają one uprawnień właściciela witryny. Chociaż zawęża to grupę potencjalnych atakujących, obrońcy muszą ocenić ekspozycję użytkowników z uprawnieniami, publikację zewnętrzną i rozrost współpracy, aby złagodzić ryzyko.

W środowiskach zwirtualizowanych CVE-2026-40402 w Hyper-V wprowadza poważne ryzyko, pozwalając atakującym na ucieczkę z gościa VM do środowiska hosta i uzyskanie uprawnień SYSTEM. Tego rodzaju awaria granicy wpływa na wiele obciążeń jednocześnie, wymagając natychmiastowej uwagi zespołów ds. wirtualizacji.

Wpływ operacyjny aktualizacji z maja 2026

Majowa aktualizacja zmusza zespoły zarządzające punktami końcowymi Office, systemami Windows zależnymi od DNS, kontrolerami domeny, serwerami SharePoint i hostami Hyper-V do zgrania wspólnego okna serwisowego. Pomimo braku zero-day, zakres i złożoność luk z tego miesiąca sprawiają, że ich rozwiązanie jest operacyjnie wymagające dla przedsiębiorstw.