Se han revelado dos nuevas vulnerabilidades de Microsoft Defender que están siendo explotadas activamente. Los fallos, identificados como CVE-2026-41091 (elevación de privilegios) y CVE-2026-45498 (denegación de servicio), permiten que atacantes locales alcancen el nivel de SYSTEM y podrían interrumpir la protección de los endpoints en entornos Windows.

Dos vulnerabilidades de Microsoft Defender recién reveladas están siendo explotadas activamente, lo que permite a atacantes locales elevar sus privilegios a nivel de SISTEMA y, potencialmente, interrumpir la protección de los endpoints en entornos Windows.

Los errores, rastreados como CVE‑2026‑41091 (Elevación de Privilegios) y CVE‑2026‑45498 (Denegación de Servicio), fueron publicados el 19 de mayo de 2026 y afectan a componentes centrales de Microsoft Defender utilizados en todas las versiones compatibles de Windows.

Vulnerabilidad de Elevación de Privilegios de Microsoft Defender

La CVE‑2026‑41091 es una vulnerabilidad de elevación de privilegios calificada como "Importante", causada por una resolución de enlaces incorrecta antes del acceso al archivo ("seguimiento de enlaces") en la lógica de escaneo de Microsoft Defender.

Un atacante local autenticado puede explotar esta debilidad para que Defender siga enlaces o uniones creadas deliberadamente y opere en rutas controladas por el atacante, obteniendo finalmente privilegios de nivel SISTEMA.

Microsoft confirma que esta vulnerabilidad ha sido revelada públicamente y ya está bajo explotación activa, con su índice de explotabilidad mostrando "Explotación Detectada".

Una explotación exitosa permite a los actores de amenazas desactivar o manipular herramientas de seguridad, desplegar cargas útiles persistentes, acceder a datos sensibles y crear nuevas cuentas con privilegios elevados, aumentando drásticamente el impacto de cualquier compromiso inicial.

La última versión del Motor de Protección contra Malware de Microsoft afectada es la 1.1.26030.3008, y el problema se solucionó a partir de la versión 1.1.26040.8.

Cabe destacar que los entornos donde Defender está desactivado pueden seguir siendo marcados como vulnerables por los escáneres, ya que los binarios y los componentes versionados permanecen en el disco, aunque la configuración no se considere explotable en la práctica.

Vulnerabilidad de Denegación de Servicio de Microsoft Defender

La segunda falla, CVE‑2026‑45498, es una vulnerabilidad de Denegación de Servicio en la Plataforma Antimalware de Microsoft Defender.

También ha sido revelada públicamente y se confirma que está siendo explotada, con el estado de "Explotación Detectada" en la evaluación de explotabilidad de Microsoft.

Al abusar de esta debilidad a nivel de plataforma, los atacantes pueden potencialmente colapsar o perjudicar las capacidades de protección de Defender, creando una ventana para ataques posteriores y persistencia sigilosa.

La última versión de la plataforma afectada es la 4.18.26030.3011, y las correcciones se implementaron en la versión 4.18.26040.7. Al igual que con el error del motor, los sistemas donde Defender está desactivado pueden aparecer como vulnerables en los resultados del escaneo debido a las comprobaciones de versión de los binarios instalados, aunque no se encuentren en un estado explotable.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. ha añadido ambas CVE‑2026‑41091 y CVE‑2026‑45498 a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), subrayando el abuso confirmado en entornos reales.

Bajo la Directiva Operativa Vinculante (BOD) 22‑01, las agencias de la Rama Ejecutiva Civil Federal (FCEB) deben remediar estas vulnerabilidades en los endpoints y servidores Windows antes del 3 de junio de 2026, otorgando a los defensores una ventana de dos semanas desde la inclusión en la lista KEV el 20 de mayo.

Acciones Requeridas para los Defensores

Microsoft enfatiza que no es necesaria la instalación manual de actualizaciones de seguridad independientes más allá de los mecanismos estándar de actualización del motor y la plataforma de Defender, los cuales están diseñados para actualizarse automática y frecuentemente.

Sin embargo, se insta a las organizaciones a verificar que las actualizaciones se estén entregando y aplicando según lo previsto.

Deberías hacer lo siguiente como administrador:

• Confirma que la versión del motor de Defender sea al menos la 1.1.26040.8 y la versión de la Plataforma Antimalware sea al menos la 4.18.26040.7 en todos los endpoints.
• Usa la aplicación Seguridad de Windows para revisar "Protección contra virus y amenazas", luego "Actualizaciones de protección", y selecciona "Buscar actualizaciones" para forzar una actualización donde sea necesario.
• En Seguridad de Windows → Configuración → Acerca de, verifica que la versión del Cliente Antimalware sea igual o superior a las versiones corregidas.

Microsoft señala que el motor de Defender se actualiza normalmente cada mes, con definiciones de malware que se actualizan varias veces al día, y recomienda que las empresas validen continuamente sus canales de distribución de actualizaciones.

La actualización también incluye mejoras adicionales de defensa en profundidad más allá de las correcciones específicas de las vulnerabilidades.

Dado que Microsoft Defender se despliega por defecto en todas las versiones compatibles de Windows y se reutiliza en productos como Microsoft System Center Endpoint Protection y Microsoft Security Essentials, estas fallas de día cero explotadas activamente representan una superficie de ataque de alto valor para los actores de amenazas.

Fuentes:
https://cybersecuritynews.com/microsoft-defender-0-days-exploited/