Microsoft corrige 138 vulnerabilidades, incluindo execução remota em `DNS` e `Netlogon`

Pacote de maio inclui 30 falhas críticas, execução remota sem autenticação em componentes do Windows, falhas em Azure e Dynamics 365 e rotação obrigatória de certificados do Secure Boot.

Componente	Windows DNS Client, Windows Netlogon, Azure DevOps, Azure Logic Apps, Azure Cloud Shell, Azure Entra ID, Azure SDK, Microsoft Dynamics 365 on-premises, Microsoft Office Word, Windows Hyper-V e Microsoft SSO Plugin for Jira & Confluence.
Vetor	Requisições de rede especialmente construídas, respostas DNS manipuladas, falhas de controle de acesso, injeção de código, autenticação incorreta, uso de memória após liberação e processamento local de documentos.
Impacto	Execução remota de código, elevação de privilégio, divulgação de informação, falsificação, negação de serviço, bypass de recurso de segurança e adulteração, conforme a classe de cada vulnerabilidade.
Prioridade	Aplicar as atualizações de maio primeiro em controladores de domínio, servidores expostos a rede, ambientes Dynamics 365 on-premises, hosts Hyper-V, estáções com Office Word e serviços Azure quando houver ação do cliente.
Versões	O contexto informa componentes afetados, mas não lista ramos ou compilações específicas vulneráveis; a validação deve ser feita contra o inventário de produtos Microsoft suportados em cada ambiente.
Artefatos	CVE-2026-41096, CVE-2026-41089, CVE-2026-42898, CVE-2026-42826, CVE-2026-41103, CVE-2026-40402, CVE-2026-40361, CVE-2026-40364, CVE-2025-54518.
Mitigação	Instalar os patches, reduzir exposição desnecessária à internet, remover autenticação legada, exigir MFA, segmentar ambientes e concluir a rotação dos certificados do Secure Boot antes de 26 de junho de 2026.

Resumo técnico

A atualização de segurança de maio da Microsoft cobre 138 vulnerabilidades distribuídas por Windows, Azure, Microsoft 365, Dynamics 365, Office, Hyper-V, componentes de identidade e integrações corporativas. O conjunto inclui 30 falhas críticas, 104 importantes, três moderadas e uma de baixa severidade. Pela classificação técnica, o maior grupo é de elevação de privilégio, com 61 registros, seguido por 32 falhas de execução remota de código, 15 de divulgação de informação, 14 de falsificação, oito de negação de serviço, seis de bypass de recurso de segurança e duas de adulteração. O lote não indicou exploração ativa nem divulgação pública prévia para as falhas listadas no momento da publicação, mas várias vulnerabilidades têm vetor de rede, baixa exigência de interação ou impacto direto em serviços de autenticação, controladores de domínio e aplicações empresariais.

As vulnerabilidades de maior atenção operacional estão em componentes que costumam ocupar posições críticas na arquitetura corporativa. CVE-2026-41096, com pontuação CVSS 9.8, afeta o Windows DNS por estouro de buffer baseado em heap e pode permitir execução de código por rede quando uma resposta DNS construída para acionar processamento incorreto corrompe memória no cliente vulnerável. CVE-2026-41089, também com CVSS 9.8, afeta Windows Netlogon e permite execução remota sem autenticação contra um servidor Windows atuando como controlador de domínio, por meio de requisição de rede especialmente construída. Em ambientes de negócio, CVE-2026-42898 e CVE-2026-42833 colocam o Microsoft Dynamics 365 on-premises em foco por execução de código a partir de atacante autenticado e por execução com privilégios desnecessários. A combinação de serviços de diretório, CRM, nuvem e produtividade torna a priorização dependente de exposição real, papel do ativo e possibilidade de movimento lateral.

Fluxo técnico

No caso de CVE-2026-41096, a condição técnica relevante é o processamento de uma resposta DNS malformada por um sistema Windows vulnerável. O vetor não exige autenticação do atacante e ocorre sobre rede, mas depende de uma configuração na qual o sistema afetado processe a resposta de modo a alcançar o trecho vulnerável do DNS Client. A corrupção de memória por estouro de buffer no heap pode alterar o fluxo de execução do processo afetado e, em determinadas configurações, resultar em execução remota de código. Para operadores, o risco não está apenas em servidores que hospedam zonas DNS; estáções, servidores de aplicação e ativos que realizam resolução de nomes também podem produzir telemetria útil caso recebam respostas manipuladas em tráfego de resolução.

CVE-2026-41089 tem gravidade elevada porque posiciona o Netlogon dentro do perímetro de confiança do domínio. O vetor descrito envolve uma requisição de rede especialmente construída enviada a servidor Windows que atua como controlador de domínio. A exploração bem-sucedida permitiria execução de código sem necessidade de credenciais prévias, o que transforma controladores de domínio vulneráveis em alvos de prioridade máxima. Diferentemente de falhas que exigem abertura de arquivo ou ação explícita de usuário, essa classe de bug precisa ser avaliada pela exposição de portas e serviços associados ao domínio, segmentação entre redes internas e capacidade de um atacante alcançar controladores a partir de estáções comprometidas, redes de usuários, VPNs ou segmentos de servidores.

Em Dynamics 365 on-premises, CVE-2026-42898 é uma vulnerabilidade de injeção de código com CVSS 9.9 que exige atacante autenticado e permite execução de código por rede. A precondição de autenticação não elimina o risco, porque contas de baixo privilégio em CRM costumam existir em grande volume e podem ser obtidas por phishing, reutilização de senha, sincronização de identidade ou abuso de sessão. Uma vez dentro da aplicação, a manipulação de dados de sessão de processo pode transformar o servidor de negócio em ponto de execução remota. CVE-2026-42833, também em Dynamics 365 on-premises, envolve execução com privilégios desnecessários e pode permitir interação com aplicações e conteúdo de outro tenant, ampliando o impacto para dados de clientes, fluxos operacionais e integrações conectadas a bancos de dados, identidade e aplicações corporativas.

O conjunto também inclui falhas críticas e importantes em serviços Azure e componentes de produtividade. CVE-2026-42826 envolve exposição de informação sensível no Azure DevOps e permite divulgação de informação por rede, sem ação exigida do cliente. CVE-2026-33109 e CVE-2026-33844 afetam Azure Managed Instance for Apache Cassandra, com execução de código por controle de acesso inadequado ou validação imprópria de entrada, também sem ação do cliente no material analisado. CVE-2026-42823 afeta Azure Logic Apps por controle de acesso inadequado e elevação de privilégio por rede. CVE-2026-35428 no Azure Cloud Shell envolve injeção de comando com falsificação por rede. Em endpoints, CVE-2026-40361 e CVE-2026-40364 no Microsoft Office Word permitem execução local de código sem interação de usuário, por uso após liberação e confusão de tipo, respectivamente.

Superfície afetada

A superfície de exposição mais sensível começa por controladores de domínio, servidores Windows que processam tráfego de autenticação de domínio e ativos que executam resolução DNS em redes onde um atacante possa interferir em respostas. Controladores de domínio vulneráveis devem ser separados de servidores comuns na fila de correção, porque a exploração de Netlogon pode comprometer a camada de autenticação que sustenta logon, políticas, tickets e confiança entre sistemas. Para DNS, a análise deve incluir servidores, estáções administrativas, jump servers, hosts de aplicações e qualquer sistema Windows que dependa de resolução em redes onde respostas possam ser manipuladas ou onde exista tráfego de saída não controlado para resolvedores não previstos.

Ambientes de aplicação e nuvem precisam de inventário específico. Dynamics 365 on-premises exige validação de servidores expostos internamente, integrações com diretórios, contas de serviço, bancos de dados conectados e caminhos de publicação por proxy reverso ou VPN. Azure DevOps, Azure Logic Apps, Azure Cloud Shell, Azure Entra ID, Azure SDK, Microsoft Teams e Azure Managed Instance for Apache Cassandra aparecem no lote com falhas de alto impacto, mas algumas correções são indicadas como sem ação do cliente. Mesmo nesses casos, equipes de cloud security devem registrar a dependência do serviço, revisar telemetria disponível e confirmar se não existem componentes locais, SDKs ou integrações que exijam atualização própria. Hosts Hyper-V afetados por CVE-2026-40402 devem ser priorizados quando hospedam cargas de trabalho de múltiplas zonas de confiança, já que a falha permite obter privilégios SYSTEM e acessar o ambiente do host.

Há ainda uma mudança operacional fora de um CVE individual: a rotação dos certificados do Secure Boot emitidos em 2011 para certificados de 2023. O prazo informado é 26 de junho de 2026. Dispositivos que não receberem os novos ancoradores de confiança podem entrar em estado degradado de segurança de inicialização ou enfrentar falhas no nível de boot. Esse ponto deve ser tratado como dependência de plataforma, principalmente para frotas com Windows, imagens padronizadas, equipamentos remotos, notebooks pouco conectados, servidores com janelas rígidas de manutenção e ambientes que usam medições de boot para controles de conformidade.

• Controladores de domínio Windows expostos a tráfego Netlogon devem entrar na primeira janela de atualização por causa de CVE-2026-41089.
• Sistemas Windows que processam respostas DNS devem ser avaliados para CVE-2026-41096, incluindo servidores e estáções administrativas.
• Instalações Microsoft Dynamics 365 on-premises devem ser revisadas para CVE-2026-42898 e CVE-2026-42833, com atenção a contas autenticadas de baixo privilégio.
• Hosts Hyper-V afetados por CVE-2026-40402 exigem prioridade quando separam cargas de trabalho com níveis diferentes de confiança.
• Frotas com Secure Boot devem concluir a rotação dos certificados antes de 26 de junho de 2026.

Hunting e telemetria

A caça deve partir dos caminhos de exploração plausíveis, não apenas da lista de CVEs. Para DNS, vale procurar respostas anômalas, picos de falhas de resolução, reinicialização inesperada de serviços relacionados, exceções de processo e tráfego de resolução vindo de segmentos ou resolvedores incomuns. Como o vetor envolve resposta construída para corromper memória, sinais de crash, encerramento abrupto ou comportamento incomum no processo responsável pela resolução podem ser relevantes mesmo sem payload confirmado. Em redes com sensores, correlacione consultas e respostas DNS com o endpoint que recebeu a resposta, o domínio consultado, o resolvedor utilizado e alterações recentes de configuração de proxy, VPN ou encaminhamento de resolução.

Para Netlogon, a investigação deve focar conexões para controladores de domínio a partir de origens que normalmente não executam operações administrativas ou de autenticação de máquina. Logs de controladores de domínio, fluxos de rede leste-oeste, alertas de autenticação e eventos de falha ou queda de serviço ajudam a separar ruído de tentativa exploratória. Como a falha dispensa autenticação prévia, a origem de tráfego suspeito pode estar em uma estáção comum comprometida ou em um segmento interno com acesso indevido aos controladores. Em Dynamics 365 on-premises, procure sessões autenticadas com comportamento incomum, execução de código ou processos filhos no servidor de aplicação, alterações abruptas de fluxo de trabalho, chamadas anômalas a integrações e acessos a registros de clientes ou dados financeiros fora do padrão da conta.

Em cloud e produtividade, o hunting deve respeitar os limites de cada serviço. Para Azure DevOps, revise auditoria de acesso a projetos, pipelines, repositórios, variáveis e segredos quando houver indicação de exposição de informação. Para Azure Logic Apps e Cloud Shell, monitore criação ou alteração inesperada de fluxos, comandos executados, identidades usadas, conexões de API e permissões concedidas. Para Azure Entra ID e Azure SDK, foque eventos de autenticação, bypass de recurso de segurança, concessões de aplicativo e uso de credenciais em locais ou clientes incomuns. Em Office Word, a telemetria de endpoint deve incluir abertura de documentos, criação de processos filhos inesperados, carregamento de bibliotecas fora do padrão e alertas de exploração de memória sem depender de interação visível do usuário.

• Respostas DNS vindas de resolvedores não previstos, seguidas por falha de processo, crash ou reinicialização de serviço em sistemas Windows.
• Conexões incomuns para controladores de domínio em serviços associados a Netlogon, especialmente a partir de sub-redes de usuário ou servidores não administrativos.
• Processos filhos, comandos ou carregamento de módulos não esperados em servidores Dynamics 365 on-premises após sessões autenticadas de baixo privilégio.
• Acessos anômalos a projetos, pipelines, variáveis, segredos e repositórios no Azure DevOps em torno da janela de atualização.
• Eventos de execução no Azure Cloud Shell e alterações em Logic Apps que não correspondam a mudanças aprovadas.
• Execução de processos a partir do Microsoft Word, abertura de documentos não reconhecidos e alertas de exploração de memória em endpoints.

Mitigação

A resposta deve começar por inventário e priorização por papel do ativo. Controladores de domínio, servidores que hospedam autenticação, hosts com alta conectividade interna e servidores expostos a múltiplos segmentos devem receber a atualização antes de estáções de risco menor. Para CVE-2026-41089, a mitigação efetiva é aplicar o patch em controladores de domínio Windows e reduzir caminhos de rede desnecessários até esses servidores. Para CVE-2026-41096, além de atualizar sistemas Windows vulneráveis, revise a configuração de resolução DNS, bloqueie resolvedores não autorizados, valide encaminhadores e investigue qualquer alteração recente em regras que permita tráfego de resolução fora do desenho aprovado. A correção deve ser acompanhada de verificação de versão e reinicialização quando exigida pelo componente.

Em Dynamics 365 on-premises, aplique as atualizações nos servidores da aplicação, valide integrações dependentes e revise contas com acesso básico que poderiam ser usadas como precondição de exploração. Contas de serviço e usuários com permissões amplas devem ser auditados, com remoção de privilégios acumulados e rotação quando houver evidência de sessão suspeita. Em Hyper-V, aplique atualização no host e valide isolamento de máquinas virtuais, principalmente quando cargas de trabalho de diferentes níveis de confiança compartilham a mesma infraestrutura. Para Office Word, atualize endpoints e servidores de sessão, mantenha políticas de bloqueio para documentos de origem não confiável, monitore criação de processos filhos e use controles de redução de superfície de ataque quando disponíveis no ambiente.

Nos serviços Azure marcados como sem ação do cliente, a tarefa principal é governança e validação: registrar a correção do serviço, revisar logs de auditoria, confirmar ausência de abuso em identidades e integrações, e manter inventário de SDKs, agentes ou componentes locais que possam ter ciclo de atualização próprio. A rotação do Secure Boot deve ser conduzida como mudança de frota: medir cobertura, testar modelos de hardware e imagens, acompanhar dispositivos que ficam longos períodos fora da rede e preparar rollback operacional para falhas de inicialização. Depois da aplicação dos patches, execute verificação de conformidade, compare ativos corrigidos contra inventário real, mantenha monitoramento intensificado em controladores de domínio, Dynamics, Hyper-V e endpoints com Office, e documente exceções com prazo e compensações técnicas.

• Atualizar controladores de domínio Windows antes de ativos menos críticos e validar que Netlogon não está acessível por segmentos que não precisam desse fluxo.
• Aplicar patches em sistemas Windows que processam DNS e bloquear uso de resolvedores não autorizados na rede corporativa.
• Corrigir servidores Microsoft Dynamics 365 on-premises e revisar contas autenticadas de baixo privilégio com acesso ao CRM.
• Atualizar hosts Hyper-V e verificar se cargas de trabalho de níveis diferentes de confiança continuam isoladas após a manutenção.
• Atualizar endpoints com Microsoft Office Word e monitorar criação de processos filhos por documentos recém-abertos.
• Concluir a rotação dos certificados do Secure Boot para os ancoradores de 2023 antes de 26 de junho de 2026.
• Revisar exposição à internet, autenticação legada, MFA, controles de acesso e segmentação para reduzir a utilidade prática de uma exploração bem-sucedida.