El investigador anónimo conocido como Nightmare-Eclipse ha sido bloqueado de dos importantes plataformas de alojamiento de código en menos de una semana. GitLab suspendió su cuenta el 26 de mayo de 2026, pocos días después de que GitHub (propiedad de Microsoft) también lo hiciera, como consecuencia de su disruptiva campaña pública de vulnerabilidades zero-day contra Microsoft.

El investigador anónimo conocido como Nightmare-Eclipse ha sido bloqueado de dos de las principales plataformas de alojamiento de código en menos de una semana, mientras su disruptiva campaña pública de día cero contra Microsoft conlleva graves consecuencias en el mundo real.

GitLab procedió a suspender la cuenta del investigador de seguridad Nightmare-Eclipse el 26 de mayo de 2026, pocos días después de que GitHub, propiedad de Microsoft, cancelara la cuenta del investigador alrededor del 23 de mayo.

La página de GitLab había servido como un espejo rápido de las seis herramientas de explotación de Windows Defender previamente alojadas en GitHub, extendiendo el alcance del investigador incluso después de la prohibición inicial.

La campaña del investigador comenzó el 2 de abril de 2026, impulsada por la frustración abierta debido a que el Centro de Respuesta de Seguridad de Microsoft (MSRC) presuntamente no actuó adecuadamente ante las divulgaciones responsables.

Durante las siguientes semanas, Nightmare-Eclipse lanzó tres herramientas de prueba de concepto (PoC) que acapararon los titulares —BlueHammer, RedSun y UnDefend— que atacan directamente a Windows Defender.

• BlueHammer (CVE-2026-33825): Una condición de carrera TOCTOU (CVSS 7.8) en el motor de remediación de amenazas de Defender que permite la escalada de privilegios a nivel de SYSTEM; parcheada en la actualización del Patch Tuesday de Microsoft de abril de 2026 y añadida al catálogo de Vulnerabilidades Explotadas Conocidas de CISA el 22 de abril.
• RedSun: Abusa del mecanismo de reversión de archivos en la nube de Defender para ejecutar binarios plantados por el atacante como SYSTEM; permanece sin parchear a fecha de mayo de 2026.
• UnDefend: Congela silenciosamente el flujo de actualizaciones de firmas de Defender sin activar alertas de salud, degradando la protección del endpoint con el tiempo; también sin parchear.

Huntress Labs confirmó la explotación activa de las tres herramientas ya el 10 de abril de 2026. Se observó a actores de amenazas desplegando las herramientas bajo nombres de archivo disfrazados como FunnyApp.exe, obteniendo acceso inicial a través de credenciales comprometidas de FortiGate VPN antes de pivotar hacia los exploits de Defender para la escalada de privilegios.

Microsoft acusó indirectamente al investigador de violar las mejores prácticas de divulgación coordinada de vulnerabilidades, mientras parcheaba algunas, pero no todas, de las fallas reportadas.

Nightmare-Eclipse, quien también mantiene un blog en Blogspot, ha anunciado ahora públicamente un evento de divulgación importante programado para el 14 de julio de 2026, advirtiendo que la fecha será significativa independientemente de los parches previos.

El caso intensifica el prolongado debate sobre los plazos éticos de divulgación, la responsabilidad de las plataformas y qué deben hacer los investigadores cuando los proveedores guardan silencio.