Nueva vulnerabilidad de día cero afecta a Windows Defender horas después del Patch Tuesday récord

Nightmare Eclipse lanzó el exploit de día cero RoguePlanet horas después de la histórica actualización del Patch Tuesday de Microsoft con 200 vulnerabilidades el martes.bleepingcomputer+1
La falla explota una condición de carrera en Microsoft Defender para otorgar privilegios de nivel SYSTEM; la firma de ciberseguridad ThreatLocker confirmó que funciona según lo descrito.bleepingcomputer
RoguePlanet es el séptimo día cero que el investigador publica desde abril en una campaña creciente contra Microsoft por quejas sobre la divulgación.barracuda

Horas después de que Microsoft lanzara su mayor actualización de Patch Tuesday el martes, un investigador de seguridad conocido como Nightmare Eclipse publicó una nueva prueba de concepto llamada RoguePlanet que otorga privilegios de nivel SYSTEM en sistemas Windows 10 y Windows 11 totalmente parcheados a través de una condición de carrera en Microsoft Defender.

El exploit

La firma de ciberseguridad ThreatLocker confirmó a BleepingComputer que el exploit funciona como se describe, reproduciendo con éxito la falla en sistemas Windows 11 con la actualización acumulativa KB5094126 de junio de 2026 instalada. "Nuestro análisis inicial confirma que el exploit RoguePlanet es viable y funciona según lo descrito", dijo el CEO de ThreatLocker, Danny Jenkins, a BleepingComputer. "Las organizaciones que utilizan listas de permitidos de aplicaciones pueden evitar que el exploit se ejecute, proporcionando una capa eficaz de protección contra este ataque".bleepingcomputer

Nightmare Eclipse compartió la prueba de concepto en un repositorio Git autohospedado después de afirmar que Microsoft había eliminado previamente repositorios en GitHub y GitLab que albergaban exploits anteriores. "El exploit es una condición de carrera, por lo que es cuestión de suerte. He logrado obtener una tasa de éxito del 100% en algunas máquinas, mientras que en otras le costó funcionar", escribió el investigador. El exploit se desarrolló originalmente como una vulnerabilidad de ejecución remota de código que explotaba el manejo de archivos de Defender en recursos compartidos SMB remotos, pero Microsoft reforzó silenciosamente la API afectada a mediados de mayo, lo que obligó a una reescritura que ahora lo limita a la escalada de privilegios local.bleepingcomputer

Una disputa creciente

RoguePlanet es lo último en una campaña de meses del investigador contra Microsoft. Desde principios de abril de 2026, Nightmare Eclipse ha lanzado múltiples exploits de día cero, incluidos BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma y MiniPlasma, todos dirigidos a componentes de Windows como Defender y BitLocker. Microsoft corrigió GreenPlasma y YellowKey como parte del lanzamiento del Patch Tuesday del martes, que abordó más de 200 vulnerabilidades y tres días cero divulgados públicamente.bleepingcomputer+3

La actualización de junio también corrigió CVE-2026-41091, una vulnerabilidad de elevación de privilegios de Defender catalogada como conocida públicamente y bajo explotación activa.thezdi

La respuesta de Microsoft

Microsoft respondió inicialmente a la campaña de divulgación con advertencias sobre trabajar con las fuerzas del orden contra aquellos que participan en "actividades maliciosas que causan daños reales", lo que provocó una reacción violenta de la comunidad de ciberseguridad. Posteriormente, la empresa cambió de rumbo, aclarando que no tiene intención de emprender acciones legales contra personas involucradas en la identificación de vulnerabilidades y volviendo a su marco de "Divulgación Coordinada de Vulnerabilidades". Nightmare Eclipse ha ignorado la rama de olivo, continuando lanzando exploits a través de una plataforma independiente.notebookcheck+1

Fuentes (14)