文章总结： 2026年5月微软补丁星期二修复138个漏洞，覆盖Windows、Office、Azure等全产品线，其中30个为高危漏洞。重点关注CVE-2026-41098（Dynamics365代码注入，CVSS9.9）、CVE-2026-41089（Netlogon域控制器RCE，CVSS9.8）及WindowsDNS客户端RCE漏洞，这些漏洞无需认证或交互即可被利用，具备蠕虫传播风险。建议企业优先修复Netlogon、DNS客户端、Dynamics365及Word预览窗格漏洞，其余按常规周期部署。 综合评分： 88 文章分类： 漏洞预警,安全运营,漏洞分析,网络安全,终端安全

2026 年 5 月微软补丁星期二：修复 138 个漏洞，部分漏洞风险极高

鹏鹏同学 鹏鹏同学

黑猫安全

2026年5月14日 08:45 湖北

在小说阅读器读本章

去阅读

2026 年 5 月微软补丁日单次更新共修复138 个安全漏洞。即便对于早已习惯微软月度补丁节奏的业内人员而言，这个数量也足以令人警惕。

本次受影响产品几乎覆盖微软全产品线：Windows 系统及组件、Office 办公套件、Edge 浏览器、Azure 云服务、.NET 框架、Visual Studio、SQL Server 数据库、各类 Copilot 智能产品；还有一处颇为出人意料的细节 ——Telnet 客户端也在此次修补之列。令人费解的是，时至 2026 年，Telnet 客户端仍存在需修复的安全漏洞。

这批漏洞中有30 个高危漏洞，其余为重要级、中级及低级漏洞。补丁发布时，暂无任何漏洞被公开披露，也暂未发现野外实际利用攻击。虽不必因此放松警惕，但这一点仍算是相对利好。

值得一提的是，本次补丁推送恰逢柏林 Pwn2Own 黑客大赛开赛前夕。这项国际赛事中，安全研究员竞相挖掘并利用主流系统漏洞发起攻击。厂商通常会在赛事前加速补丁发布周期，以此缩小自身暴露的攻击面。本月漏洞修复数量异常偏高，大概率也折射出人工智能在漏洞挖掘研究中的作用日益凸显，即便目前 AI 多仅用于漏洞报告文稿撰写。

以下为需立即重点关注的高危漏洞，随后附上本月最具影响力的重大漏洞清单。

Windows DNS 客户端存在一处高危漏洞，攻击者可通过发送恶意 DNS 响应包实现远程代码执行，全程无需身份认证、无需用户任何交互。由于 DNS 客户端几乎部署在所有 Windows 设备上，攻击者可借助恶意 DNS 服务器或中间人攻击，悄无声息地入侵大型企业内网。

Windows Netlogon 出现高危漏洞，未授权攻击者可构造恶意网络请求，在域控制器上实现远程代码执行。该漏洞无需账号凭据、无需用户交互，CVSS 漏洞评分高达 9.8 分。且具备蠕虫式传播潜质，攻击一旦成功可攻陷整个 Windows 域环境，是本次安全更新中最亟需修复的漏洞之一。

本地部署版 Microsoft Dynamics 365 存在高危代码注入漏洞，罕见获得 9.9 分 CVSS 满分评级。该漏洞存在作用域溢出风险，攻击者利用漏洞后，可突破目标组件边界、影响内网其他资源。此类高危漏洞较为少见且危害极大，部署本地版 Dynamics 365 的企业需立即优先打补丁。

Windows TCP/IP 协议栈存在释放后重用漏洞，理论上可被未授权攻击者利用实现无交互远程代码执行，同样具备蠕虫传播潜质。但该漏洞利用需目标系统持续处于高内存占用压力状态，现实中发起攻击的概率相对较低。微软同时修复了两款 Word 漏洞，仅通过文件预览窗格即可触发漏洞，无需用户打开恶意文档。安全研究员表示，及时打补丁仍是抵御此类威胁最有效的方式。

以下为 2026 年 5 月微软补丁日修复的重点 CVE 漏洞：

1. CVE-2026-42898（CVSS 9.9 分）—— 本地部署版 Microsoft Dynamics 365 远程代码执行漏洞；代码注入且存在作用域溢出，任意已认证用户均可越权访问并影响其他组件资源。
2. CVE-2026-41089（CVSS 9.8 分）—— Windows Netlogon 远程代码执行漏洞；基于栈的缓冲区溢出，可在域控制器上实现无授权远程代码执行，具备蠕虫传播能力，需立即修复。
3. CVE-2026-41096（CVSS 评分未公开）—— Windows DNS 客户端 远程代码执行漏洞；恶意 DNS 响应包触发堆缓冲区溢出，无需认证、无需用户交互，攻击面极广。
4. CVE-2026-40415（CVSS 评分未公开）—— Windows TCP/IP 远程代码执行漏洞；协议栈释放后重用漏洞，无授权、无交互，理论可蠕虫化，但需特殊内存压力条件才可利用。
5. CVE-2026-41103（高危）—— Jira 与 Confluence 微软单点登录插件 权限提升漏洞；认证算法实现存在缺陷，被实际利用的可能性较高。
6. CVE-2026-40364（CVSS 8.4 分）—— Microsoft Word 远程代码执行漏洞；类型混淆漏洞，可通过预览窗格触发，无需打开恶意文档。
7. CVE-2026-40361（CVSS 8.4 分）—— Microsoft Word 远程代码执行漏洞；释放后重用漏洞，攻击路径同上，仅预览文件即可触发，无需手动打开文档。
8. CVE-2026-41103 同类高危漏洞 —— 涵盖 Windows 远程桌面、通用日志文件系统驱动、Windows 内核、Azure AI Foundry、Windows Win32k、TCP/IP 协议栈、云文件微过滤驱动等组件，均存在多类权限提升漏洞，且实际利用概率较高。

在本月微软 138 个补丁中，Netlogon、Windows DNS 客户端、Dynamics 365 及 Word 相关漏洞为最高优先级修复项。安全专家建议，因其危害等级高、利用门槛低，需优先修复；其余漏洞则按常规补丁周期尽快完成更新部署。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：黑猫安全 鹏鹏同学 鹏鹏同学《2026 年 5 月微软补丁星期二：修复 138 个漏洞，部分漏洞风险极高》