服務(wù)公告
微軟2026年5月份月度安全漏洞預(yù)警
2026-05-13
一、概要
近日，華為云關(guān)注到微軟發(fā)布2026年5月份安全補(bǔ)丁更新，共披露了118個漏洞，其中16個漏洞標(biāo)記為嚴(yán)重漏洞。攻擊者利用漏洞可實(shí)現(xiàn)權(quán)限提升、安全功能繞過、遠(yuǎn)程執(zhí)行代碼等。受影響的應(yīng)用包括：Microsoft Windows、Microsoft Office、.NET、Azure 等組件。
微軟官方說明：
https://msrc.microsoft.com/update-guide/releaseNote/2026-May
本次用戶需關(guān)注如下存在細(xì)節(jié)已公開/已出現(xiàn)在野攻擊利用的漏洞：
本月官方標(biāo)記為更有可能被利用的漏洞有12個（如：CVE-2026-41103、CVE-2026-40364、CVE-2026-40361等），詳情請查看官方公告，華為云提醒用戶及時安全自檢并做好安全加固以降低被攻擊的風(fēng)險(xiǎn)。
二、漏洞級別
漏洞級別：【嚴(yán)重】
（說明：漏洞級別共四級：一般、重要、嚴(yán)重、緊急）
三、影響范圍
Microsoft Windows、Microsoft Office、.NET、Azure 等產(chǎn)品。
四、重要漏洞說明詳情
|
CVE編號 |
漏洞名稱 |
嚴(yán)重程度 |
漏洞描述 |
|
CVE-2026-40403 |
Windows 圖形組件遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Windows Win32K – GRFX 中的基于堆的緩沖區(qū)溢出，允許經(jīng)過身份驗(yàn)證的攻擊者在本地執(zhí)行代碼。 |
|
CVE-2026-41089 |
Windows Netlogon 服務(wù)遠(yuǎn)程代碼執(zhí)行漏洞 |
嚴(yán)重 |
Windows Netlogon 中的基于棧的緩沖區(qū)溢出，允許未經(jīng)授權(quán)的攻擊者通過網(wǎng)絡(luò)執(zhí)行代碼。 |
|
CVE-2026-40367 |
Microsoft Word 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Microsoft Office Word 存在不可信指針解引用缺陷，允許未經(jīng)授權(quán)的攻擊者在本地執(zhí)行代碼。 |
|
CVE-2026-40402 |
Windows Hyper-V 特權(quán)提升漏洞 |
嚴(yán)重 |
Windows Hyper-V 釋放后使用存在缺陷，可使未授權(quán)的攻擊者實(shí)現(xiàn)本地提權(quán)。 |
|
CVE-2026-40365 |
Microsoft SharePoint Server 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
由于 Microsoft Office SharePoint 存在訪問控制粒度不足，可使已授權(quán)的攻擊者實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。 |
|
CVE-2026-40358 |
Microsoft Office 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
未經(jīng)授權(quán)的攻擊者通過誘使受害者從網(wǎng)站下載并打開特制文件觸發(fā)漏洞，成功利用該漏洞的攻擊者可以在本地執(zhí)行代碼。 |
|
CVE-2026-35421 |
Windows GDI 遠(yuǎn)程代碼執(zhí)行漏洞 |
嚴(yán)重 |
Windows GDI 中基于堆的緩沖區(qū)溢出，允許未經(jīng)授權(quán)的攻擊者在本地執(zhí)行代碼。 |
|
CVE-2026-41103 |
Microsoft SSO 插件 for Jira 和 Confluence 提升特權(quán)漏洞 |
嚴(yán)重 |
由于 Microsoft Jira 和 Confluence 單點(diǎn)登錄（SSO）插件存在身份驗(yàn)證算法實(shí)現(xiàn)不當(dāng)，未經(jīng)授權(quán)的攻擊者可通過網(wǎng)絡(luò)提升權(quán)限。 |
|
CVE-2026-32161 |
Windows Native WiFi Miniport Driver 遠(yuǎn)程代碼執(zhí)行漏洞 |
嚴(yán)重 |
在Windows 原生 WiFi 微型端口驅(qū)動存在共享資源并發(fā)同步不當(dāng)（競態(tài)條件），可使未授權(quán)的攻擊者在相鄰網(wǎng)絡(luò)實(shí)現(xiàn)代碼執(zhí)行。 |
|
CVE-2026-40361 CVE-2026-40366 |
Microsoft Word 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Microsoft Office Word 的釋放后使用存在缺陷，允許未經(jīng)授權(quán)的攻擊者在本地執(zhí)行代碼。 |
|
CVE-2026-42898 |
Microsoft Dynamics 365（本地）遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
由于Microsoft Dynamics 365（本地版）存在代碼生成控制不當(dāng)（代碼注入），已授權(quán)的攻擊者可利用漏洞實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。 |
|
CVE-2026-42831 |
Microsoft Office 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Microsoft Office 中基于堆的緩沖區(qū)溢出，允許未經(jīng)授權(quán)的攻擊者在本地執(zhí)行代碼。 |
|
CVE-2026-41096 |
Windows DNS 客戶端遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
攻擊者通過向目標(biāo)系統(tǒng)發(fā)送特制 DNS 響應(yīng)觸發(fā)漏洞，導(dǎo)致 DNS 客戶端處理不當(dāng)及內(nèi)存損壞。在特定配置下，未授權(quán)攻擊者可在目標(biāo)系統(tǒng)上實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。 |
|
CVE-2026-40364 |
Microsoft Word 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Microsoft Office Word 中使用不兼容類型訪問資源（“類型混淆”），可使未授權(quán)的攻擊者實(shí)現(xiàn)本地代碼執(zhí)行。 |
|
CVE-2026-40363 |
Microsoft Office 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Microsoft Office 中基于堆的緩沖區(qū)溢出，可使未授權(quán)的攻擊者在本地實(shí)現(xiàn)代碼執(zhí)行。 |
（注：以上為嚴(yán)重漏洞，其他漏洞及詳情請參見微軟官方說明）
五、安全建議
1、可通過Windows Update自動更新微軟補(bǔ)丁修復(fù)漏洞，也可以手動下載補(bǔ)丁，補(bǔ)丁下載地址：
https://msrc.microsoft.com/update-guide
2、為確保數(shù)據(jù)安全，建議重要業(yè)務(wù)數(shù)據(jù)進(jìn)行異地備份。
注意：修復(fù)漏洞前請將資料備份，并進(jìn)行充分測試。