Cuatro nuevos avisos de seguridad
Índice
- Actualizaciones de seguridad de Microsoft de mayo de 2026
- Múltiples vulnerabilidades en productos de Ivanti
- Uso remoto después de su liberación en configuraciones de GnuTLS de Exim
- Múltiples vulnerabilidades en productos de Fortinet
Actualizaciones de seguridad de Microsoft de mayo de 2026
- .NET
- ASP.NET Core
- Azure AI Foundry M365 published agents
- Azure Cloud Shell
- Azure Connected Machine Agent
- Azure DevOps
- Azure Entra ID
- Azure Logic Apps
- Azure Machine Learning
- Azure Managed Instance for Apache Cassandra
- Azure Monitor Agent
- Azure Notification Service
- Azure SDK
- Copilot Chat (Microsoft Edge)
- Data Deduplication
- Dynamics Business Central
- GitHub Copilot and Visual Studio
- M365 Copilot
- M365 Copilot for Desktop
- Microsoft Data Formulator
- Microsoft Dynamics 365 (on-premises)
- Microsoft Dynamics 365 Customer Insights
- Microsoft Edge (Chromium-based)
- Microsoft Edge for Android
- Microsoft Office
- Microsoft Office Click-To-Run
- Microsoft Office Excel
- Microsoft Office PowerPoint
- Microsoft Office SharePoint
- Microsoft Office Word
- Microsoft Partner Center
- Microsoft SSO Plugin for Jira & Confluence
- Microsoft Teams
- Microsoft Windows DNS
- Power Automate
- SQL Server
- Telnet Client
- Visual Studio Code
- Windows Admin Center
- Windows Ancillary Function Driver for WinSock
- Windows Application Identity (AppID) Subsystem
- Windows Cloud Files Mini Filter Driver
- Windows Common Log File System Driver
- Windows Cryptographic Services
- Windows DWM Core Library
- Windows Event Logging Service
- Windows Filtering Platform (WFP)
- Windows GDI
- Windows Hyper-V
- Windows Internet Key Exchange (IKE) Protocol
- Windows Kernel
- Windows Kernel-Mode Drivers
- Windows LDAP - Lightweight Directory Access Protocol
- Windows Link-Layer Discovery Protocol (LLDP)
- Windows Message Queuing
- Windows Native WiFi Miniport Driver
- Windows Netlogon
- Windows Print Spooler Components
- Windows Projected File System
- Windows Remote Desktop
- Windows Rich Text Edit
- Windows Rich Text Edit Control
- Windows SMB Client
- Windows Secure Boot
- Windows Storage Spaces Controller
- Windows Storport Miniport Driver
- Windows TCP/IP
- Windows Telephony Service
- Windows Volume Manager Extension Driver
- Windows Win32K - GRFX
- Windows Win32K - ICOMP
La publicación de actualizaciones de seguridad de Microsoft, correspondiente a la publicación de vulnerabilidades del 12 de mayo, consta de 137 vulnerabilidades (con CVE asignado), calificadas 14 como críticas, 99 como altas y 24 como medias.
Instalar la actualización de seguridad correspondientes. En la página de Microsoft se informa de los distintos métodos para llevar a cabo dichas actualizaciones.
Las vulnerabilidades de severidad crítica publicadas tienen asignados los siguientes identificadores y descripciones:
- CVE-2026-33109: Vulnerabilidad de ejecución remota de código en Azure Managed Instance para Apache Cassandra
- CVE-2026-33117: Vulnerabilidad de Omisión de Característica de Seguridad en Azure SDK para Java
- CVE-2026-33823: Vulnerabilidad de Revelación de Información en Microsoft Team Events Portal
- CVE-2026-33844: Vulnerabilidad de ejecución remota de código en Azure Managed Instance para Apache Cassandra
- CVE-2026-35428: Vulnerabilidad de Suplantación en Azure Cloud Shell
- CVE-2026-40379: Vulnerabilidad de Suplantación en Microsoft Enterprise Security Token Service (ESTS)
- CVE-2026-40402: Vulnerabilidad de Elevación de Privilegios en Windows Hyper-V
- CVE-2026-41089: Vulnerabilidad de ejecución remota de código en Windows Netlogon
- CVE-2026-41096: Vulnerabilidad de ejecución remota de código en Windows DNS Client
- CVE-2026-41103: Vulnerabilidad de Elevación de Privilegios en Microsoft SSO Plugin para Jira & Confluence
- CVE-2026-42823: Vulnerabilidad de Elevación de Privilegios en Azure Logic Apps
- CVE-2026-42826: Vulnerabilidad de Revelación de Información en Azure DevOps
- CVE-2026-42833: Vulnerabilidad de ejecución remota de código en Microsoft Dynamics 365 On-Premises
- CVE-2026-42898: Vulnerabilidad de ejecución remota de código en Microsoft Dynamics 365 On-Premises
Los códigos CVE asignados a las vulnerabilidades no críticas reportadas pueden consultarse en las referencias.
Múltiples vulnerabilidades en productos de Ivanti
- Ivanti Xtraction, versión 2026.1 y anteriores;
- Ivanti Endpoint Manager (EPM) , versión 2024 SU5 y anteriores;
- Ivanti Virtual Traffic Manager (vTM), versión 22.9r3 y anteriores;
- Ivanti Secure Access Client (Windows), versión 22.8R5 y anteriores.
Ivanti ha publicado 4 avisos de seguridad donde informa de un total de 7 vulnerabilidades, 1 de severidad crítica, 4 altas y 2 medias que, en caso de ser explotadas, podrían permitir leer ficheros sensibles y escribir ficheros HTML arbitrarios, ejecutar código en remoto y escalar privilegios, entre otras acciones.
Según el producto, actualizarlo a la versión indicada a continuación:
- Ivanti Xtraction, versión 2026.2;
- Ivanti Endpoint Manager (EPM), versión 2024 SU6;
- Ivanti Virtual Traffic Manager (vTM), versión 22.9r4;
- Ivanti Secure Access Client (Windows), versión 22.8R6.
Las vulnerabilidades de severidad crítica y alta son:
- CVE-2026-8043: el control externo de un nombre de fichero en Ivanti Xtraction permite a atacantes en remoto y autenticados leer ficheros sensibles y escribir ficheros HTML arbitrarios en un directorio web, lo que conlleva a la revelación de información y posibles ataques en el lado del cliente.
- CVE-2026-8111:inyección SQL en la consola web de Ivanti Endpoint Manager permite a atacantes en remoto y autenticados, ejecutar código en remoto.
- CVE-2026-8110: asignación incorrecta de permisos en el agente de Ivanti Endpoint Manager permite a atacantes autenticados en local, escalar sus privilegios.
- CVE-2026-8051: inyección de comandos del SO en Ivanti Virtual Traffic Manager permite a atacantes autenticados en remoto con privilegios de administrador, ejecutar código en remoto.
- CVE-2026-7432: condición de carrera en Ivanti Secure Access Client permite a usuarios autenticados en local, elevar sus privilegios a SYSTEM.
El resto de vulnerabilidades se pueden consultar en los enlaces de las referencias.
Uso remoto después de su liberación en configuraciones de GnuTLS de Exim
Todas las versiones de Exim desde la 4.97 hasta la 4.99.2, ambas incluidas.
Exim ha publicado una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir a un un atacante provocar una corrupción de la memoria dinámica.
El problema se ha solucionado en la versión 4.99.3 de Exim.
CVE-2026-45185: uso de memoria liberada (use-after-free) en la ruta de análisis del cuerpo BDAT, la cual se activa cuando un cliente envía una notificación TLS close_notify en el cuerpo intermedio durante una transferencia CHUNKING, seguida de un byte final en texto plano en la misma conexión TCP. Esto puede provocar corrupción de memoria. Un atacante de red no autenticado que explote esta vulnerabilidad podría ejecutar código arbitrario.
Múltiples vulnerabilidades en productos de Fortinet
- FortiAuthenticator:
- Versiones desde 8.0.0 hasta 8.0.2;
- Versiones desde 6.6.0 hasta 6.6.8;
- Versiones desde 6.5.0 hasta 6.5.6.
- FortiSandbox:
- Versiones desde 5.0.0 hasta 5.0.1;
- Versiones desde 4.4.0 hasta 4.4.8.
- FortiSandbox Cloud:
- Todas las versiones 23 y 24;
- Versiones desde 5.0.2 hasta 5.0.5.
- FortiSandbox PaaS:
- Todas las versiones 23.4, 23.3, 23.1, 22.2, 22.1 y 21.4;
- Versiones desde 5.0.0 hasta 5.0.1;
- Versiones desde 4.45 hasta 4.4.8.
Fortinet ha informado sobre múltiples vulnerabilidades críticas en FortiAuthenticator y FortiSandbox. Estas vulnerabilidades podrían permitir a un atacante remoto no autenticado ejecutar código o comandos no autorizados mediante solicitudes HTTP especialmente diseñadas.
El fabricante recomienda actualizar a las siguientes versiones corregidas:
- FortiAuthenticator:
- Actualizar a la versión 8.0.3 o superior;
- Actualizar a la versión 6.6.9 o superior;
- Actualizar a la versión 6.5.7 o superior.
- FortiSandbox
- Actualizar a la versión 5.0.2 o superior;
- Actualizar a la versión 4.4.9 o superior.
- FortiSandbox Cloud y FortiSandbox PaaS
- Migrar a una versión corregida proporcionada por el fabricante.
CVE-2026-44277: control de acceso inapropiado en FortiAuthenticator que podría permitir a un atacante remoto no autenticado ejecutar código o comandos no autorizados mediante solicitudes manipuladas dirigidas a los endpoints de la API.
CVE-2026-26083: autorización incorrecta en FortiSandbox, FortiSandbox Cloud y FortiSandbox PaaS que podría permitir a un atacante remoto no autenticado ejecutar código o comandos no autorizados a través de solicitudes HTTP especialmente diseñadas dirigidas a la interfaz web.