Nuevo zero-day en Windows Defender permite privilegios sistema

Miércoles 10 - 11:17

Una nueva vulnerabilidad afecta a Microsoft Defender tras la reciente actualización del Patch Tuesday. El fallo permite la elevación de privilegios hasta el nivel SYSTEM en equipos con Windows 10 y Windows 11 completamente actualizados. El problema se origina en una condición de carrera dentro del motor de seguridad de Defender, lo que abre la puerta a ataques locales incluso después de aplicar los parches recientes.

El exploit, denominado RoguePlanet, fue publicado como prueba de concepto por un investigador de seguridad conocido como Nightmare Eclipse. El código muestra cómo es posible escalar privilegios en sistemas que han instalado la actualización acumulativa de junio de 2026 KB5094126. Las pruebas realizadas por expertos independientes confirmaron que la vulnerabilidad es reproducible en entornos reales bajo determinadas condiciones.

Una empresa de ciberseguridad verificó el comportamiento del exploit en sistemas Windows 11 actualizados. Los análisis indican que el ataque puede funcionar con éxito, aunque depende de la sincronización del proceso debido a la condición de carrera. La compañía señaló que las políticas de control de aplicaciones pueden bloquear la ejecución del exploit al limitar procesos no autorizados.

El investigador explicó que la técnica inicial estaba orientada a la ejecución remota de código a través del manejo de archivos en recursos compartidos SMB, pero cambios recientes en las interfaces de programación de Microsoft obligaron a rediseñar el ataque hacia una escalada de privilegios local. También señaló variaciones en la tasa de éxito entre diferentes máquinas.

Este caso se suma a una serie de divulgaciones de vulnerabilidades críticas en Windows durante los últimos meses. La última actualización de seguridad corrigió más de 200 fallos, incluidos varios zero-day previamente expuestos. Entre ellos se encontraba una vulnerabilidad de escalada de privilegios en Defender que ya estaba siendo explotada activamente.

Microsoft reaccionó inicialmente con advertencias legales hacia los responsables de las divulgaciones, pero posteriormente modificó su postura y volvió a un enfoque de divulgación coordinada. A pesar del cambio, el investigador continuó publicando exploits a través de plataformas independientes.