El investigador Chaotic Eclipse publicó un exploit de día cero llamado RoguePlanet que afecta a Microsoft Defender en Windows 10 y 11. Esta vulnerabilidad permite obtener privilegios de nivel SYSTEM, facilitando la ejecución de código arbitrario en sistemas actualizados. La publicación es parte de un conflicto personal entre el investigador y Microsoft por el manejo de reportes de seguridad.

El investigador de seguridad anónimo que utiliza el nombre Chaotic Eclipse (también conocido como Nightmare-Eclipse) ha publicado una prueba de concepto (PoC) de un exploit para otro zero-day de Microsoft Defender llamado RoguePlanet.

"El exploit es una condición de carrera, por lo que es cuestión de suerte", afirmó el investigador, que publicó el exploit bajo una nueva cuenta de GitHub, "MSNightmare" en este enlace. "He logrado obtener una tasa de éxito del 100% en algunas máquinas, mientras que en otras le costó funcionar".

Si el exploit tiene éxito, el resultado es una shell con privilegios de nivel SYSTEM, otorgando al atacante la capacidad de ejecutar código arbitrario o realizar acciones no autorizadas.

El investigador señaló que el exploit ha sido probado en máquinas con Windows 11 y 10 con las actualizaciones de Patch Tuesday de junio de 2026 instaladas, lo que significa que el exploit funciona en las versiones actualizadas del sistema operativo de escritorio.

Dicho esto, el exploit no funciona en instancias de Windows Server en su forma actual ya que "los usuarios estándar no pueden montar una imagen ISO". Chaotic Eclipse enfatizó que las instalaciones de Windows Server también son vulnerables al fallo y que el exploit necesita ser rediseñado para que funcione.

"Hacer que este PoC funcionara realmente agotó mi alma, degradó severamente mi salud mental y física, pero a finales de mayo se desarrolló un PoC completo", dijo el investigador.

"Los esfuerzos de Microsoft para proteger a Defender de los ataques de redireccionamiento de rutas son inútiles; también tengo un lote de vulnerabilidades de corrupción de memoria en Defender, sin mencionar el otro lote de vulnerabilidades que tengo en varios otros componentes".

El investigador de seguridad Will Dormann, en una publicación compartida en Mastodon, dijo que "según se informa no es 100% fiable, pero en mi primer intento funcionó".

RoguePlanet es el último de una serie de fallos descubiertos por Chaotic Eclipse en los últimos meses:

• * BlueHammer (CVE-2026-33825)
• * UnDefend (CVE-2026-45498)
• * RedSun (CVE-2026-41091)

Estas divulgaciones no coordinadas son parte de lo que se considera un esfuerzo de represalia tras una presunta ruptura en la comunicación entre el investigador, que no se ha identificado públicamente, y Microsoft.

En publicaciones firmadas criptográficamente en su página de Blogger, Chaotic Eclipse expresó su insatisfacción con la forma en que Microsoft manejó el proceso de divulgación y criticó a la empresa por revocar el acceso a su cuenta del Centro de Respuesta de Seguridad de Microsoft (MSRC), donde los investigadores pueden informar de vulnerabilidades. El investigador también ha acusado a Redmond de humillarlo, desestimar sus informes, no compensarlo por las vulnerabilidades identificadas y difamarlo.

A finales del mes pasado, Microsoft condenó las divulgaciones públicas de vulnerabilidades, afirmando que "nunca son justificables" y ponen a los clientes en un "riesgo innecesario". Cabe destacar que las tres vulnerabilidades de Defender mencionadas anteriormente ya han sido explotadas en entornos reales.

La disputa pública también ha provocado la eliminación de sus cuentas de GitHub y GitLab. "Microsoft está intentando abusar de su propiedad de GitHub para proteger únicamente sus propios productos, y abusar de sus amplios vínculos con las fuerzas del orden calificando la publicación de información sobre vulnerabilidades en sus propios productos como un comportamiento criminal", dijo el investigador de seguridad Kevin Beaumont en este enlace.

"Para ser claros sobre nuestro enfoque en asuntos legales, no tenemos intención de emprender acciones contra personas que realicen o publiquen sus investigaciones de seguridad", dijo Microsoft en una publicación de X. "Cuando un individuo rompe la ley y participa en actividades maliciosas que causan un daño real a nuestros clientes, trabajaremos con las fuerzas del orden según sea apropiado".

"Nos comprometemos a abordar cada interacción con transparencia, comunicación clara y profesionalismo. Seguimos creyendo firmemente en la Divulgación Coordinada de Vulnerabilidades como la base para proteger a los clientes y mejorar nuestros productos".

Fuente:
THN