Microsoft ha reconocido oficialmente una vulnerabilidad crítica de día cero en Microsoft Defender, apodada públicamente como "RoguePlanet", y ha confirmado que está desarrollando activamente un parche de seguridad para solucionar el fallo.

Identificada como CVE-2026-50656, la vulnerabilidad fue publicada formalmente el 16 de junio de 2026 por el Centro de Respuesta de Seguridad de Microsoft (MSRC) y tiene una puntuación CVSS de 7.8 (Importante) bajo el marco de puntuación CVSS 3.1.

El fallo se clasifica como una vulnerabilidad de Elevación de Privilegios (EoP) basada en CWE-59: Resolución Incorrecta de Enlaces Antes del Acceso al Archivo ('Seguimiento de Enlaces'), que afecta al Motor de Protección contra Malware de Microsoft, el componente de escaneo central integrado en Microsoft Defender.

La cadena del vector CVSS refleja un fallo explotable localmente que requiere solo privilegios bajos y ninguna interacción del usuario, con un impacto alto en la confidencialidad, integridad y disponibilidad. Cabe destacar que el Nivel de Remediación figura como "No disponible" y la Madurez del Código de Explotación se califica como "Funcional", lo que confirma que existe una prueba de concepto (PoC) pública operativa.

RoguePlanet fue lanzada por primera vez el 10 de junio de 2026, pocas horas después de que Microsoft concluyera el despliegue de su Martes de Parches de junio de 2026, por un investigador de seguridad que opera bajo los alias Nightmare Eclipse y Chaotic Eclipse.

El exploit aprovecha una condición de carrera de Tiempo de Verificación a Tiempo de Uso (TOCTOU) dentro del motor de escaneo en tiempo real de Defender, explotando la breve ventana temporal entre el momento en que Defender verifica una ruta de archivo y el momento en que actúa sobre ella. Cuando se activa con éxito, el exploit genera un símbolo del sistema de Windows ejecutándose como NT AUTHORITY\SYSTEM, el nivel de privilegio más alto en una máquina Windows.

La vulnerabilidad afecta a sistemas Windows 10 y Windows 11 totalmente actualizados, incluidos aquellos que ejecutan la actualización acumulativa KB5094126 de junio de 2026. La empresa de ciberseguridad ThreatLocker reprodujo el exploit de forma independiente y confirmó su viabilidad en sistemas Windows 11 totalmente parcheados.

En una actualización particularmente alarmante, Nightmare Eclipse reveló que la PoC funciona independientemente de si la Protección en Tiempo Real de Defender está activada o desactivada, e incluso puede funcionar en modo pasivo. La fiabilidad del exploit varía según la máquina debido a su naturaleza de condición de carrera, pero el investigador expresó su confianza en que puede refinarse para lograr tasas de éxito constantes.

Los intentos de la comunidad de seguridad para detectar o bloquear la PoC mediante firmas han resultado ser mayormente ineficaces, ya que modificaciones menores en la PoC pueden evadir las mitigaciones por completo.

Microsoft ha calificado esta vulnerabilidad como "Explotación más probable" en su Índice de Explotabilidad, con la divulgación pública confirmada y la vulnerabilidad aún no observada siendo explotada en entornos reales. El proveedor declaró: "Estamos trabajando para proporcionar una actualización de seguridad de alta calidad que solucione esta vulnerabilidad".

Microsoft aún no ha anunciado una fecha específica para el lanzamiento del parche, y el aviso de CVE se actualizará una vez que la actualización de seguridad esté disponible.