El investigador Chaotic Eclipse afirma que el parche de Microsoft para la vulnerabilidad de día cero RoguePlanet en Windows Defender podría haber introducido nuevos problemas de seguridad y fiabilidad. Según el experto, cambios recientes en el archivo mpengine.dll podrían provocar la filtración de ocho bytes de datos en ciertos escenarios de manejo de archivos y podrían ser utilizados para agotar el espacio del disco local.

El parche de Microsoft para el zero-day de Windows Defender RoguePlanet puede haber introducido nuevos problemas de seguridad y fiabilidad, según el investigador Chaotic Eclipse.

El investigador afirma que los cambios recientes de defensa en profundidad en mpengine.dll del Motor de Protección contra Malware de Microsoft pueden filtrar ocho bytes de datos en ciertos escenarios de manejo de archivos y pueden aprovecharse para agotar el espacio en el disco local.

RoguePlanet, rastreado como CVE-2026-50656, es un fallo de escalada de privilegios locales de gravedad alta en el Motor de Protección contra Malware de Microsoft, el componente central detrás del escaneo y la remediación de Microsoft Defender.

Microsoft abordó el problema en la versión del motor 1.1.26060.3008 junto con medidas de endurecimiento adicionales que describió como actualizaciones de defensa en profundidad.

Afirmación sobre el Parche de RoguePlanet Defender

Chaotic Eclipse, también conocido como Nightmare-Eclipse, dijo que las mitigaciones recién introducidas parecen crear una condición de divulgación de información no intencionada cuando Defender intenta abrir un archivo manipulado especialmente.

El problema reportado filtra ocho bytes de datos, aunque el investigador dijo que aún no ha encontrado una manera de que un usuario estándar recupere esos bytes; las observaciones actuales indican que los datos están expuestos solo para los controladores. Este comportamiento no ha sido confirmado independientemente por Microsoft.

Más preocupante de forma inmediata es un escenario separado de denegación de servicio que involucra el manejo de Defender relacionado con la cuarentena y la reputación de los flujos de datos alternativos (ADS) Zone.Identifier.

Un flujo Zone.Identifier son metadatos de Windows que registran el origen o la zona de seguridad de un archivo, comúnmente asociados con archivos descargados de internet u obtenidos de ubicaciones de red.

Según el análisis del investigador, Defender generalmente aplica límites de tamaño al escanear y poner en cuarentena archivos, una salvaguarda sensata destinada a evitar que un objeto muy grande consuma todo el almacenamiento disponible.

Sin embargo, la excepción reportada reside en las funciones de mpengine.dll asociadas con el marco de protección en la nube Spynet de Microsoft, que presuntamente conservan una copia local de los datos Zone.Identifier independientemente del tamaño del flujo.

El investigador demostró la condición utilizando un servidor SMB controlado. En la configuración de la prueba de concepto, Defender accede a un archivo alojado en el servidor y luego intenta leer su ADS Zone.Identifier sobredimensionado asociado.

Según se informa, el servidor mantiene activa la sesión SMB mientras retiene una respuesta a una solicitud de lectura posterior, dejando a Defender esperando y reteniendo espacio en disco para el contenido almacenado en caché.

Las capturas de pantalla compartidas con el informe muestran el volumen de Windows afectado llegando a cero bytes libres mientras la conexión SMB permanece disponible. La salida del monitoreo de procesos parece mostrar que MsMpEng.exe de Microsoft Defender escribe datos repetidamente y finalmente recibe resultados de DISK FULL (disco lleno), en lugar de abandonar rápidamente la operación.

El investigador dijo que el problema se reprodujo en Windows 11 versión 25H2 y Windows Server 2025. Aunque la condición no se describe como una caída del sistema, una unidad de sistema totalmente consumida puede tener graves consecuencias operativas: las aplicaciones pueden fallar al escribir archivos temporales, los servicios pueden volverse inestables, las actualizaciones pueden fallar y las operaciones de protección de endpoints pueden verse interrumpidas.

En la actualidad, la explotación parece requerir que el sistema víctima acceda a un recurso compartido SMB malicioso o controlado por el investigador, lo que generalmente introduce una barrera de autenticación e interacción del usuario.

Chaotic Eclipse también está evaluando si WebDAV podría producir un comportamiento similar, pero informó que los intentos de acceso a ADS a través del protocolo actualmente fallan con STATUS_INVALID_PARAMETERS.

Tú y tu organización deberían asegurarse de que los motores de Defender estén actualizados, restringir el acceso SMB saliente innecesario, monitorear eventos abruptos de consumo de disco que involucren a MsMpEng.exe e investigar la actividad de archivos inusualmente grandes relacionados con ADS.

Microsoft no ha confirmado públicamente este presunto problema posterior al parche, por lo que debes tratarlo como un hallazgo de investigación reportado a la espera de la validación del proveedor.

Fuentes:
https://cybersecuritynews.com/rogueplanet-defender-patch-claim/