Microsoft lost 137 beveiligingslekken in mei, waaronder 13 kritieke

Microsoft heeft in mei 137 beveiligingslekken gedicht in haar enterprise-producten, componenten en onderliggende systemen. Hoewel het aantal hoog is, meldt het bedrijf dat er deze maand geen zero-days actief worden misbruikt.

Dertien kritieke lekken

Van de 137 lekken kregen er 13 een kritieke CVSS-classificatie. Drie daarvan springen eruit:

• CVE-2026-33109 en CVE-2026-42823 in Microsoft Azure;
• CVE-2026-42898 in Microsoft Dynamics 365 met een CVSS-score van 9,9.

Het bedrijf heeft ook 13 lekken aangemerkt als mogelijk kwetsbaar voor exploitatie, terwijl 113 lekken minder of onwaarschijnlijk kwetsbaar worden geacht.

Trend: meer lekken door AI

Het hoge aantal lekken past in een groeiende trend. Onderzoekers voorspelden al dat kunstmatige intelligentie meer zwakke plekken in code zou ontdekken. Hoewel niet alle lekken direct door AI zijn gevonden, speelt AI vaak een rol in het detectieproces, aldus Dustin Childs, hoofd bedreigingsbewustzijn bij Trend Micro’s Zero Day Initiative.

"Hoewel niet alle lekken direct door AI zijn gevonden, is het waarschijnlijk dat AI een rol speelde – zelfs als het alleen maar ging om het schrijven van de melding."

Twee zorgwekkende lekken in Windows

Childs wijst vooral op CVE-2026-41096, een ernstig lek in de Windows DNS-service. Dit lek stelt aanvallers in staat om willekeurige code uit te voeren zonder authenticatie of gebruikersinteractie. Omdat de DNS-client op bijna elke Windows-machine draait, is het aanvalsoppervlak enorm groot.

"Een aanvaller die DNS-responses kan beïnvloeden, kan ongeauthenticeerde code-uitvoering over het hele bedrijfsnetwerk forceren," aldus Childs.

Ook CVE-2026-41089, een lek in Windows Netlogon, wordt als zeer kritiek bestempeld. Dit lek stelt aanvallers in staat om zonder authenticatie code uit te voeren. Childs noemt het "het lek met de hoogste impact dat onmiddellijke patching vereist".

"Een gecompromitteerde domeincontroller betekent een gecompromitteerd domein."

Kritiek lek in Microsoft Dynamics 365

Jack Bicer, directeur onderzoek naar kwetsbaarheden bij Action1, benadrukt CVE-2026-42898, het kritieke lek in Microsoft Dynamics 365. Dit lek vereist geen gebruikersinteractie en kan systemen buiten de oorspronkelijke scope beïnvloeden.

"Een aanvaller met alleen basistoegang kan een bedrijfsapplicatieserver omtoveren tot een platform voor remote code-uitvoering," waarschuwt Bicer. "Een succesvolle exploit kan leiden tot blootstelling van klantgegevens, financiële informatie en operationele workflows, met mogelijke verdere compromittering van de organisatie."

Volledige lijst beschikbaar

De volledige lijst van gepatchte lekken is terug te vinden op de website van het Microsoft Security Response Center.