Microsoft risolve 137 vulnerabilità nel Patch Tuesday di maggio, nessuna zero-day attiva

Microsoft corregge 137 vulnerabilità nel Patch Tuesday di maggio

Microsoft ha risolto un nuovo lotto di vulnerabilità a tre cifre nei suoi prodotti aziendali, componenti e sistemi di base. Nonostante l’elevato numero di difetti segnalati, l’azienda non ha riportato zero-day attivamente sfruttate nel Patch Tuesday di maggio.

13 vulnerabilità critiche tra cui quelle in Azure e Dynamics 365

Dei 137 difetti corretti, 13 sono stati classificati come critici secondo il punteggio CVSS. Tra questi spiccano due vulnerabilità in Azure (CVE-2026-33109 e CVE-2026-42823) e una in Microsoft Dynamics 365 (CVE-2026-42898), tutte con un punteggio CVSS di 9.9.

Microsoft ha inoltre identificato 13 vulnerabilità considerate più probabili di essere sfruttate, mentre 113 sono state classificate come meno probabili o improbabili di essere utilizzate in attacchi.

L’impatto dell’intelligenza artificiale nella scoperta delle vulnerabilità

Il volume elevato di vulnerabilità riflette una tendenza in crescita, anticipata dai ricercatori, poiché i modelli di intelligenza artificiale vengono impiegati per individuare difetti precedentemente sconosciuti nel codice. Dustin Childs, responsabile della consapevolezza delle minacce presso la Zero Day Initiative di Trend Micro, ha sottolineato come l’AI possa aver giocato un ruolo anche solo nella stesura delle segnalazioni.

Childs ha evidenziato in particolare CVE-2026-41096, una vulnerabilità in Windows DNS che permette agli attaccanti non autorizzati di eseguire codice da remoto senza autenticazione né interazione dell’utente. «Poiché il client DNS è presente su quasi tutti i computer Windows, la superficie di attacco è enorme. Un attaccante in grado di influenzare le risposte DNS potrebbe ottenere l’esecuzione di codice remoto non autenticato in tutta l’azienda», ha spiegato.

Childs ha anche segnalato CVE-2026-41089, un difetto in Windows Netlogon che consente agli attaccanti remoti non autenticati di eseguire codice. «Si tratta della vulnerabilità ad alto impatto che richiede una patch immediata. Un controller di dominio compromesso significa un dominio compromesso», ha avvertito.

I rischi per Microsoft Dynamics 365

Jack Bicer, direttore della ricerca sulle vulnerabilità presso Action1, ha sottolineato i pericoli di CVE-2026-42898, la vulnerabilità critica in Microsoft Dynamics 365. «Non è richiesto alcun intervento dell’utente e l’impatto può estendersi oltre il componente vulnerabile, trasformando un server di applicazioni aziendali in una piattaforma di esecuzione remota», ha dichiarato.

Bicer ha aggiunto che la compromissione dell’infrastruttura di Dynamics 365 può esporre dati sensibili come record dei clienti, flussi di lavoro operativi, informazioni finanziarie e sistemi aziendali integrati. Poiché gli ambienti CRM spesso si collegano a servizi di identità, database e applicazioni aziendali, un exploit riuscito potrebbe portare a compromissioni più ampie e interruzioni operative.

Le raccomandazioni degli esperti

Gli analisti consigliano alle aziende di applicare tempestivamente le patch per mitigare i rischi, in particolare per le vulnerabilità critiche e quelle considerate ad alto impatto. La lista completa delle vulnerabilità corrette è disponibile sul Microsoft Security Response Center.