Un investigador de seguridad conocido como Nightmare Eclipse publicó una prueba de concepto denominada RoguePlanet, que explota una vulnerabilidad de tipo race condition en Microsoft Defender y permitiría a un usuario local sin privilegios obtener permisos de nivel SYSTEM, el nivel más elevado disponible en los sistemas Windows.
Según la información publicada, la vulnerabilidad afectaría a sistemas Windows 10 y Windows 11 completamente actualizados, incluyendo equipos con las actualizaciones de seguridad de junio de 2026 instaladas. En el momento de redactar esta alerta, Microsoft no ha asignado un identificador CVE ni ha publicado un aviso oficial de seguridad asociado a este comportamiento.
La vulnerabilidad se basa en una condición de carrera (race condition) presente en determinados procesos internos de tratamiento de archivos realizados por Microsoft Defender.
El ataque aprovecha una discrepancia temporal entre la validación de una operación sobre un archivo y su posterior ejecución. Mediante la manipulación de rutas y puntos de unión NTFS (junction points), un atacante local podría conseguir que Microsoft Defender, que se ejecuta con privilegios SYSTEM, realice operaciones sobre ubicaciones controladas por el atacante.
Según el investigador, esta técnica permite redirigir determinadas operaciones internas del antivirus y ejecutar código con privilegios elevados.
El enfoque recuerda a vulnerabilidades de tipo TOCTOU (Time-of-Check to Time-of-Use) observadas anteriormente en Windows Defender, donde la validación inicial de una ruta de archivo no coincide con la ubicación final sobre la que se ejecuta la operación.
Estado actual
De acuerdo con la información publicada:
- No existe parche de seguridad disponible.
- No se ha asignado CVE oficial.
- La prueba de concepto ha sido publicada públicamente.
- La explotación ha sido demostrada sobre Windows 10 y Windows 11 actualizados.
- El investigador afirma que Windows Server también sería vulnerable, aunque la prueba de concepto actual no permite explotarlo directamente debido a limitaciones técnicas de implementación.
Diversas empresas de seguridad han indicado que la técnica parece viable y coherente con el comportamiento observado en vulnerabilidades anteriores relacionadas con Microsoft Defender.
Impacto potencial
Un atacante que ya disponga de acceso local a un sistema podría:
- Escalar privilegios hasta SYSTEM.
- Obtener control completo sobre el equipo afectado.
- Desactivar mecanismos de seguridad.
- Instalar malware con privilegios elevados.
- Crear usuarios privilegiados.
- Acceder a información sensible.
- Mantener persistencia en el sistema.
- Facilitar movimientos laterales dentro de la organización.
Aunque la vulnerabilidad no proporciona acceso remoto inicial, podría resultar especialmente valiosa en cadenas de ataque posteriores al compromiso inicial.
Técnicas MITRE ATT&CK potencialmente asociadas
La explotación de esta vulnerabilidad podría relacionarse con las siguientes técnicas del marco MITRE ATT&CK:
| Técnica | Nombre |
| T1068 | Exploitation for Privilege Escalation |
| T1548 | Abuse Elevation Control Mechanism |
| T1574 | Hijack Execution Flow |
| T1036 | Masquerading |
| T1055 | Process Injection |
| T1543 | Create or Modify System Process |
Estas técnicas son habituales en escenarios de postexplotación donde el objetivo es obtener privilegios elevados y consolidar el acceso al sistema comprometido.
Indicadores de detección
Las organizaciones deberían prestar especial atención a:
- Creación inesperada de procesos con privilegios SYSTEM.
- Actividad anómala asociada a procesos de Microsoft Defender.
- Uso sospechoso de puntos de unión NTFS (junction points).
- Eventos relacionados con modificación de rutas de archivos protegidos.
- Escaladas de privilegios sin una causa administrativa justificada.
- Comportamientos anómalos detectados por soluciones EDR o XDR.
Recomendaciones
Mientras no exista una actualización oficial, se recomienda:
- Aplicar el principio de mínimo privilegio a usuarios y servicios.
- Limitar la capacidad de los usuarios para ejecutar software no autorizado.
- Supervisar la creación de procesos con privilegios SYSTEM.
- Reforzar la monitorización mediante soluciones EDR/XDR.
- Revisar alertas relacionadas con Microsoft Defender.
- Implementar listas blancas de aplicaciones cuando sea posible.
- Mantener actualizados los sistemas operativos y herramientas de seguridad.
- Investigar cualquier elevación de privilegios inesperada.
La publicación de RoguePlanet pone de manifiesto cómo las vulnerabilidades de escalada de privilegios continúan representando una amenaza significativa incluso en sistemas completamente actualizados.
Aunque la vulnerabilidad requiere acceso previo al equipo, la disponibilidad pública de una prueba de concepto funcional incrementa el riesgo de que sea incorporada a futuras cadenas de ataque. Hasta que Microsoft publique información adicional o una corrección oficial, resulta recomendable reforzar la monitorización de eventos relacionados con privilegios elevados y aplicar medidas adicionales de defensa en profundidad.
Referencias
- Nightmare Eclipse
- GitHub RoguePlanet PoC
- Microsoft Defender
- MITRE ATT&CK
