Microsoft parchea la vulnerabilidad de día cero RoguePlanet Defender

Microsoft ↗ 0.90% ha lanzado una actualización de seguridad para el motor de protección contra malware de Microsoft para abordar CVE-2026-50656, una vulnerabilidad de día cero en Microsoft Defender conocida como RoguePlanet que puede otorgar a los atacantes privilegios de nivel SYSTEM en máquinas Windows totalmente parcheadas. La solución llega aproximadamente un mes después de que el fallo fuera revelado públicamente por primera vez, lo que generó escrutinio sobre el cronograma.cybersecuritynews+1

Una condición de carrera en el núcleo de Defender

RoguePlanet fue revelado por primera vez el 9 de junio de 2026 por un investigador de seguridad que opera bajo los alias Nightmare Eclipse y Chaotic Eclipse, pocas horas después de que Microsoft lanzara su actualización del Patch Tuesday de junio. La vulnerabilidad explota una condición de carrera de tipo Time-of-Check to Time-of-Use en el motor de escaneo en tiempo real de Defender, lo que permite a un atacante local con pocos privilegios redirigir las operaciones de archivos realizadas por el motor y generar un shell de comandos que se ejecuta como NT AUTHORITY\SYSTEM, el nivel de privilegio más alto en Windows.kudelskisecurity+3

Microsoft reconoció formalmente el fallo el 17 de junio, asignándole una puntuación CVSS de 7.8 y declarando que estaba "trabajando para proporcionar una actualización de seguridad de alta calidad". En una declaración a BleepingComputer reportada por PCWorld, un portavoz dijo que la compañía "proporcionaría información sobre este CVE cuando la actualización estuviera disponible". Múltiples investigadores independientes, incluidos equipos de ThreatLocker y Picus Security, confirmaron que el exploit funcionaba en sistemas Windows 10 y Windows 11 totalmente parcheados, incluidos aquellos con la actualización acumulativa de junio de 2026 instalada.threatlocker+4

Semanas sin una solución

La brecha entre la divulgación pública y el parche atrajo críticas de la comunidad de seguridad. El 25 de junio, Kudelski Security señaló que "no se ha lanzado ninguna actualización de seguridad oficial y existe una prueba de concepto pública que funciona independientemente de si la Protección en tiempo real de Defender está habilitada". La naturaleza probabilística del exploit (que depende de ganar una condición de carrera) ofrecía cierta mitigación, pero las organizaciones se vieron obligadas a depender de soluciones alternativas como el Control de aplicaciones de Windows Defender en modo forzado o restringir a los usuarios estándar el montaje de archivos VHD.apolocybersecurity+2

RoguePlanet es la cuarta vulnerabilidad de Defender revelada por Nightmare Eclipse, después de BlueHammer, UnDefend y RedSun, todas las cuales Microsoft ha parcheado desde entonces. Microsoft declaró en su aviso que no había detectado una explotación activa del fallo en la naturaleza, aunque calificó la vulnerabilidad como "Explotación más probable" en su Índice de explotabilidad.kudelskisecurity+2

Qué deben hacer las organizaciones ahora

La actualización del motor de protección contra malware se entrega automáticamente a través de las actualizaciones de la plataforma Defender y Windows Update. Los administradores deben verificar la versión de su motor usando el comando de PowerShell Get-MpComputerStatus y confirmar que la actualización se ha aplicado en toda su flota. Las organizaciones que implementaron mitigaciones provisionales, como la aplicación de WDAC o reglas ASR, deben mantener esos controles mientras confirman que la implementación del parche se ha completado.sentinelone+1