Microsoft zet AI-scanner in en patcht 137 kwetsbaarheden

Microsoft heeft tijdens de Patch Tuesday van mei 2026 in totaal 137 beveiligingslekken gedicht in onder meer Windows, Azure, Microsoft Office, Dynamics 365, Visual Studio, Defender en diverse serverproducten. Hoewel Microsoft aangeeft dat er op het moment van publicatie geen actieve aanvallen bekend zijn waarbij de kwetsbaarheden al worden misbruikt, waarschuwen beveiligingsonderzoekers dat meerdere lekken een zeer hoog risicoprofiel hebben en onmiddellijke aandacht vereisen van systeembeheerders en securityteams.

Van de 137 gepatchte kwetsbaarheden kregen 30 het predicaat ‘kritiek’, wat betekent dat succesvolle exploitatie kan leiden tot volledige systeemcompromittering zonder noemenswaardige beperkingen. Veertien kwetsbaarheden ontvingen bovendien een CVSS-score van 9.0 of hoger, een indicatie dat de impact extreem groot kan zijn binnen enterprise-omgevingen.

De zwaarst beoordeelde kwetsbaarheid van deze Patch Tuesday kreeg zelfs de maximale CVSS-score van 10.0. Het gaat daarbij om een probleem binnen Azure DevOps. Microsoft meldt echter dat deze kwetsbaarheid reeds server-side is verholpen, waardoor klanten geen aanvullende actie meer hoeven te ondernemen. Omdat Azure DevOps grotendeels als cloudplatform wordt beheerd, kon Microsoft de mitigatie centraal uitrollen zonder tussenkomst van gebruikers of beheerders.

AI speelt steeds grotere rol bij kwetsbaarheidsonderzoek

Opvallend aan deze Patch Tuesday is de prominente rol die kunstmatige intelligentie inmiddels speelt binnen het beveiligingsonderzoek van Microsoft. Het bedrijf bevestigt dat AI-systemen en geautomatiseerde analyseomgevingen tegenwoordig actief worden ingezet om kwetsbaarheden sneller en op grotere schaal op te sporen.

Volgens Microsoft stijgt het totale aantal ontdekte kwetsbaarheden al geruime tijd doordat softwarecode tegenwoordig veel intensiever geanalyseerd wordt dan enkele jaren geleden mogelijk was. Waar securityonderzoek vroeger grotendeels handmatig plaatsvond, maken moderne analyseplatformen gebruik van AI-modellen, fuzzing-technieken, geautomatiseerde code-audits en patroonherkenning om kwetsbare componenten sneller te identificeren.

Tom Gallagher, vicepresident engineering bij het Microsoft Security Response Center (MSRC), bevestigde daarnaast het bestaan van een interne AI-gestuurde scanomgeving met de codenaam MDASH. Deze tooling werd volgens Microsoft ingezet bij het ontdekken van zestien kwetsbaarheden die onderdeel zijn van de mei-updates.

MDASH analyseert softwarecomponenten grotendeels geautomatiseerd op geheugenfouten, onveilige inputverwerking, privilege-escalatieproblemen en potentiële remote code execution-scenario’s. Microsoft onderzoekt momenteel de mogelijkheid om delen van deze technologie via een beperkte private preview beschikbaar te maken voor enterprise-klanten en securitypartners.

Het bedrijf verwacht bovendien dat Patch Tuesday-updates de komende jaren structureel groter zullen worden. Door de inzet van AI en automatisering worden kwetsbaarheden sneller ontdekt, wat leidt tot een hogere patchfrequentie en mogelijk vaker tussentijdse beveiligingsupdates buiten het reguliere maandelijkse updateschema.

Kritieke kwetsbaarheid in Windows DNS Client

Een van de ernstigste beveiligingslekken van deze maand is CVE-2026-41096, een remote code execution-kwetsbaarheid in de Windows DNS Client. De kwetsbaarheid kreeg een CVSS-score van 9.8 en wordt door onderzoekers beschouwd als bijzonder gevaarlijk vanwege het enorme aanvalsoppervlak.

Het probleem ontstaat door een heap-based buffer overflow tijdens het verwerken van speciaal geprepareerde DNS-responses. Een aanvaller kan hierdoor kwaadaardige code uitvoeren op een systeem zonder dat authenticatie of gebruikersinteractie nodig is.

Omdat vrijwel alle moderne Windows-systemen standaard gebruikmaken van de DNS Client-service, kan de impact zeer groot zijn. Securityonderzoekers waarschuwen dat een aanvaller via gemanipuleerde DNS-antwoorden mogelijk op grote schaal systemen kan compromitteren, vooral binnen bedrijfsnetwerken waar DNS-verkeer centraal wordt afgehandeld.

Daarnaast bestaat bezorgdheid over mogelijke wormable eigenschappen van het lek. Dat betekent dat malware zichzelf potentieel automatisch zou kunnen verspreiden tussen kwetsbare systemen zonder menselijke tussenkomst, vergelijkbaar met historische aanvallen zoals WannaCry of NotPetya.

Ernstig Netlogon-lek bedreigt domaincontrollers

Ook CVE-2026-41089, een kritieke kwetsbaarheid in Windows Netlogon, krijgt veel aandacht binnen de securitysector. Dit lek ontving eveneens een CVSS-score van 9.8.

De kwetsbaarheid maakt remote code execution mogelijk op Windows-domaincontrollers via speciaal opgebouwde netwerkrequests. Daarbij zijn geen geldige gebruikerscredentials vereist. Een aanvaller kan het lek misbruiken om kwaadaardige code uit te voeren binnen Active Directory-omgevingen, wat potentieel volledige controle over een Windows-domein mogelijk maakt.

Onderzoekers omschrijven het probleem als potentieel wormable, mede doordat Netlogon een kerncomponent is binnen Windows-authenticatie en domeinbeheer. Organisaties met on-premises Active Directory-infrastructuren worden daarom dringend geadviseerd om de updates met prioriteit uit te rollen.

Dynamics 365-lek treft on-premises omgevingen

Microsoft heeft daarnaast een zeer ernstige kwetsbaarheid opgelost in Dynamics 365 on-premises-omgevingen. Het gaat om CVE-2026-42898, een remote code execution-lek met een CVSS-score van 9.9.

De kwetsbaarheid kan worden misbruikt door geauthenticeerde gebruikers zonder verhoogde rechten. Volgens Microsoft ontstaat het probleem doordat Dynamics CRM onvoldoende controle uitvoert op bepaalde sessiedata. Een aanvaller kan gemanipuleerde gegevens aanleveren waarna het systeem kwaadaardige code uitvoert.

Hoewel voor exploitatie een geldig account vereist is, maken onderzoekers zich zorgen over mogelijke laterale beweging binnen bedrijfsomgevingen zodra een aanvaller initiële toegang heeft verkregen. Omdat Dynamics 365 vaak gekoppeld is aan andere kritieke bedrijfsprocessen en databases, kan succesvolle exploitatie verstrekkende gevolgen hebben.

Securityspecialisten adviseren organisaties daarom om de beschikbare updates zo snel mogelijk te testen en gefaseerd uit te rollen, met extra aandacht voor systemen die rechtstreeks vanaf internet bereikbaar zijn of gekoppeld zijn aan gevoelige bedrijfsdata.

Toenemende druk op patchbeheer

De omvang van de mei-updates onderstreept volgens analisten dat patchbeheer steeds belangrijker én complexer wordt. Organisaties krijgen niet alleen te maken met grotere aantallen kwetsbaarheden, maar ook met een hoger tempo waarin patches beschikbaar komen.

Door de opkomst van AI-gedreven kwetsbaarheidsdetectie ontstaat een situatie waarin zowel softwareleveranciers als aanvallers sneller beveiligingsproblemen kunnen identificeren. Dat verkort de tijd tussen het ontdekken van een kwetsbaarheid en het moment waarop exploitcode beschikbaar kan komen.

Microsoft benadrukt daarom dat organisaties hun updateprocessen, monitoring en vulnerability management-strategieën moeten aanpassen aan deze nieuwe realiteit. Vooral kritieke infrastructuur, domaincontrollers, cloudomgevingen en extern bereikbare systemen zouden volgens securityonderzoekers prioriteit moeten krijgen bij het installeren van de nieuwste patches.

Door: Drifter