Microsoft a închis 120 de vulnerabilități în Windows și Office: actualizarea de mai vine fără zero-day, dar cu multe riscuri critice

Microsoft a publicat marți, 12 mai 2026, pachetul lunar de securitate Patch Tuesday, iar actualizarea este una consistentă: 120 de vulnerabilități au fost remediate în Windows, Office, SharePoint, Dynamics 365, Visual Studio Code, Azure și alte produse din ecosistemul companiei. Partea bună este că, de această dată, Microsoft nu a raportat nicio vulnerabilitate de tip zero-day, adică nicio breșă cunoscută public sau exploatată activ înainte de apariția patch-ului.

Totuși, lipsa unui zero-day nu înseamnă că actualizarea poate fi ignorată. Dintre cele 120 de probleme remediate, 17 sunt clasificate drept critice, iar cele mai multe dintre acestea permit executarea de cod de la distanță. Cu alte cuvinte, atacatorii ar putea rula comenzi sau malware pe un sistem vulnerabil, în anumite scenarii, fără ca utilizatorul să realizeze imediat ce se întâmplă.

Office, Word și Excel sunt printre țintele importante

Unul dintre cele mai importante puncte ale actualizării din mai 2026 îl reprezintă vulnerabilitățile din Microsoft Office, Word și Excel. Mai multe dintre acestea pot permite executarea de cod de la distanță prin fișiere malițioase, ceea ce face ca riscul să fie foarte practic, nu doar teoretic. Un utilizator poate primi un document aparent obișnuit pe e-mail, îl poate deschide sau chiar îl poate previzualiza, iar atacul poate începe de acolo.

Faptul că unele vulnerabilități pot fi exploatate prin panoul de previzualizare este un detaliu important. În multe organizații, angajații verifică rapid atașamentele direct din clientul de e-mail, fără să le deschidă complet. Dacă sistemul nu este actualizat, chiar și această interacțiune aparent inofensivă poate deveni periculoasă.

Vezi și:

Motorina s-ar putea scumpi de la 1 iulie. Cât ar putea ajunge să coste un litru la pompă

Actualizarea este cu atât mai importantă pentru companiile care primesc frecvent facturi, contracte, formulare, CV-uri sau documente de la persoane externe. Office rămâne una dintre cele mai folosite porți de intrare pentru atacuri, tocmai pentru că utilizatorii sunt obișnuiți să deschidă fișiere primite pe e-mail. În astfel de cazuri, patch-urile nu sunt doar o recomandare IT, ci o măsură de igienă digitală esențială.

Printre vulnerabilitățile critice se numără probleme în Microsoft Office, Word, Dynamics 365 on-premises, SharePoint Server, Windows DNS Client, Windows GDI, Windows Hyper-V, Netlogon și alte componente Windows. Lista arată cât de largă este suprafața de atac, de la aplicații de birou până la servicii de server și componente de sistem.

Ce tipuri de breșe a remediat Microsoft

Din totalul vulnerabilităților remediate, cele mai multe sunt de tip elevation of privilege, adică permit unui atacator să obțină drepturi mai mari pe sistem. Au fost raportate 61 de astfel de probleme, ceea ce le face categoria dominantă a lunii. Deși aceste breșe nu sunt mereu cele mai spectaculoase, ele sunt extrem de valoroase într-un atac real, pentru că pot transforma un acces limitat într-un control mult mai serios asupra sistemului.

Vezi și:

Windows 11 26H2 vine curând, iar update-ul ar putea fi mai puțin enervant decât de obicei

Un simplu stick USB îți poate goli portofelul crypto: malware-ul care schimbă adresele de plată fără să observi

Microsoft a remediat și 31 de vulnerabilități de executare de cod de la distanță, 14 probleme de divulgare de informații, 13 vulnerabilități de spoofing, 8 de tip denial of service și 6 care permit ocolirea unor funcții de securitate. În practică, aceste categorii acoperă o gamă largă de scenarii: de la furt de informații și blocarea unor servicii, până la păcălirea utilizatorilor sau compromiterea completă a unui sistem.

Una dintre vulnerabilitățile notabile este cea din Windows GDI, care poate fi exploatată prin deschiderea unui fișier Enhanced Metafile, inclusiv cu Microsoft Paint. Este un exemplu clasic de risc ascuns într-un fișier aparent banal. O altă problemă importantă afectează Microsoft SharePoint Server, unde un atacator autentificat ar putea executa cod de la distanță pe server.

O vulnerabilitate critică vizează și Windows DNS Client. În acest caz, un server DNS controlat de atacator ar putea trimite un răspuns special construit către un sistem Windows vulnerabil, provocând procesarea incorectă a datelor și coruperea memoriei. În cel mai grav scenariu, atacatorul ar putea rula cod de la distanță pe sistemul afectat.

De ce actualizarea nu trebuie amânată

Chiar dacă Microsoft nu a anunțat zero-day-uri în acest Patch Tuesday, administratorii IT și utilizatorii obișnuiți nu ar trebui să trateze pachetul de mai ca pe o actualizare minoră. Numărul mare de vulnerabilități, prezența celor 17 probleme critice și riscurile legate de Office fac ca instalarea patch-urilor să fie importantă cât mai rapid.

Pentru utilizatorii de acasă, recomandarea este simplă: verifică Windows Update și instalează actualizările disponibile. Dacă folosești Microsoft Office, nu amâna update-urile, mai ales dacă primești frecvent atașamente. De asemenea, evită să deschizi documente venite din surse necunoscute și nu te baza doar pe faptul că fișierul „pare” legitim.

Pentru companii, actualizările trebuie testate și distribuite rapid, în special pe stațiile care lucrează cu documente externe, pe serverele SharePoint și pe sistemele expuse în rețele complexe. Prioritate ar trebui să aibă vulnerabilitățile critice de executare de cod de la distanță și cele care pot fi folosite în lanțuri de atac.

Actualizarea Microsoft din mai 2026 nu vine cu titlul alarmant al unui zero-day exploatat activ, dar asta nu o face lipsită de miză. Cele 120 de vulnerabilități remediate arată cât de multe puncte sensibile există într-un ecosistem software modern. Iar într-o lună fără zero-day-uri, cel mai mare risc rămâne același: să amâni patch-urile până când cineva transformă o breșă cunoscută într-un atac real.

Creatorii și AI: cine câștigă bani, cine pierde și de ce se schimbă regulile pieței