Se ha detectado una vulnerabilidad crítica de día cero en Windows llamada “MiniPlasma”, la cual permite a los atacantes obtener privilegios de nivel SYSTEM en sistemas totalmente actualizados. El investigador de seguridad Nightmare-Eclipse publicó el 13 de mayo de 2026 un exploit de prueba de concepto (PoC) en GitHub, afirmando que Microsoft no corrigió el fallo o revirtió silenciosamente la solución.

Ha surgido una vulnerabilidad crítica de día cero de escalada de privilegios en Windows, denominada "MiniPlasma", con un exploit de prueba de concepto público que permite a los atacantes obtener privilegios de nivel SYSTEM en sistemas Windows totalmente actualizados.

El investigador de seguridad Nightmare-Eclipse publicó el exploit avanzado en GitHub el 13 de mayo de 2026, afirmando que Microsoft no logró parchearlo o revirtió silenciosamente la corrección de una vulnerabilidad reportada originalmente hace seis años.

El fallo afecta a la rutina HsmOsBlockPlaceholderAccess del controlador de filtro de nube cldflt.sys, que fue descubierta e informada inicialmente a Microsoft por James Forshaw, investigador de Google Project Zero, en septiembre de 2020.

Microsoft asignó el código CVE-2020-17103 a la vulnerabilidad y, según se informa, la solucionó en diciembre de 2020 como parte de sus actualizaciones de Patch Tuesday.

Sin embargo, Nightmare-Eclipse descubrió que el mismo problema documentado en el informe original de Forshaw sigue siendo explotable sin ninguna modificación al código original de la prueba de concepto.

El investigador lanzó MiniPlasma un día después del Patch Tuesday de Microsoft de mayo de 2026, programando la revelación para que siguiera al ciclo de parches y dejando a las organizaciones sin una solución oficial hasta, al menos, la próxima actualización programada.

El exploit ha ganado una atención significativa en la comunidad de seguridad, y el repositorio de GitHub acumuló más de 390 estrellas a los pocos días de su publicación.

Publicación del PoC de MiniPlasma Zero-Day

La vulnerabilidad permite que usuarios sin privilegios creen claves de registro arbitrarias en la colmena de usuario .DEFAULT sin los controles de acceso adecuados.

Según Google Project Zero, el fallo reside en cómo la función HsmOsBlockPlaceholderAccess gestiona la creación de claves de registro, al no especificar la bandera OBJ_FORCE_ACCESS_CHECK.

Esto permite a los atacantes evadir las restricciones de acceso normales y escribir claves en la colmena de usuario .DEFAULT, a pesar de que los usuarios estándar normalmente carecen de dichos permisos.

El exploit aprovecha este comportamiento mediante una condición de carrera (race condition) que alterna entre tokens de usuario y anónimos para manipular la función RtlOpenCurrentUser en el kernel.

Cuando la condición de carrera tiene éxito, el sistema abre la colmena .DEFAULT para escritura mientras se revierte la suplantación del hilo, permitiendo la creación de claves no autorizadas.

La prueba de concepto de Nightmare-Eclipse, publicada en GitHub, demuestra una explotación fiable en sistemas multinúcleo al generar una shell de SYSTEM tras ganar con éxito la condición de carrera.

La vulnerabilidad afecta a todas las versiones de Windows, lo que la convierte en una amenaza significativa para entornos empresariales, estaciones de trabajo y sistemas sincronizados en la nube.

Las pruebas confirmaron que ejecutar el exploit desde una cuenta de usuario estándar abre correctamente un símbolo del sistema con privilegios de SYSTEM, otorgando a los atacantes el control total sobre la máquina comprometida.

El componente del controlador de filtro de nube es fundamental para los servicios de sincronización de almacenamiento en la nube de Windows, como OneDrive, lo que significa que el código vulnerable se ejecuta en una amplia gama de instalaciones de Windows.

Debes monitorizar la respuesta de seguridad de Microsoft y prepararte para implementar los parches tan pronto como estén disponibles, ya que la disponibilidad pública de un código de exploit funcional aumenta significativamente el riesgo de ataque.