Microsoft está trabajando en un parche para "ShieldBreak" (CVE-2026-69414), una vulnerabilidad de día cero en Microsoft Defender que permite a atacantes locales obtener privilegios de sistema. El fallo fue revelado por el investigador "Nightmare Eclipse" como un bypass a una corrección anterior, afectando a Windows 10, 11 y Windows Server. La divulgación ocurre en medio de una disputa entre el investigador y Microsoft sobre sus prácticas de recompensas por errores.





El viernes, Microsoft confirmó que ha comenzado a trabajar en un parche de seguridad para una vulnerabilidad de día cero de Defender llamada "ShieldBreak".

Un investigador de seguridad que utiliza el alias "Nightmare Eclipse" reveló esta vulnerabilidad de escalada de privilegios después de que Microsoft publicara las actualizaciones de seguridad del Patch Tuesday de agosto de 2026.

"Microsoft es consciente de la vulnerabilidad reportada y está investigando activamente la validez y la aplicabilidad potencial de estas afirmaciones", dijo un portavoz de Microsoft cuando se le pidió una declaración sobre el nuevo día cero ShieldBreak.

"Microsoft se compromete a investigar los problemas de seguridad y a actualizar los productos afectados para proteger a los clientes lo antes posible".

Nightmare Eclipse describió ShieldBreak como un bypass para RoguePlanet, otro fallo de escalada de privilegios de Defender revelado en junio, y compartió un exploit de prueba de concepto (PoC) de ShieldBreak que atacantes locales con permisos limitados pueden usar para obtener privilegios SYSTEM en sistemas Windows 10, Windows 11 y Windows Server totalmente actualizados.

"Microsoft no ha parcheado correctamente la vulnerabilidad RoguePlanet CVE-2026-50656, este PoC demuestra un bypass completo del parche", afirmó Nightmare Eclipse [https://git.projectnightcrawler.dev/NightmareEclipse/ShieldBreak].

"El PoC fue probado en la última versión de windows 11 25h2 (+Canary channel) y windows server 2025, el PoC también tiene una tasa de éxito del 100%. Tenga en cuenta que Windows 10 (y las respectivas ediciones de servidor) no cuentan con soporte actualmente, sin embargo, también son vulnerables a ShieldBreak".

El analista de vulnerabilidades Will Dormann confirmó [https://infosec.exchange/@wdormann/117079587486018149] la semana pasada que el exploit de ShieldBreak funciona, pero añadió que Microsoft Defender también debe estar habilitado para que los atacantes escalen privilegios.

Demo del exploit PoC de ShieldBreak (Nightmare Eclipse)

rastreado como cve-2026-69414 y a la espera de un parche

El viernes, tres días después de que se revelara ShieldBreak, Microsoft dijo que ahora rastrea el fallo como CVE-2026-69414 y confirmó que está trabajando en un parche, pero aún no ha reconocido que Nightmare Eclipse lo encontrara.

"Microsoft tiene conocimiento de una elevación de privilegios en el Motor de Protección contra Malware de Microsoft en Microsoft Defender referido públicamente como 'ShieldBreak'", dijo la compañía. "Estamos trabajando para proporcionar una actualización de seguridad de alta calidad que solucione esta vulnerabilidad. Proporcionaremos información en este CVE cuando la actualización esté disponible".

Nightmare Eclipse reveló públicamente ShieldBreak sin previo aviso a Microsoft como parte de una disputa en curso con la empresa sobre sus prácticas de divulgación de vulnerabilidades y recompensas por errores (bug bounty).

Días después de que el investigador publicara los exploits PoC sin aviso previo, Microsoft respondió [enlace] con advertencias de acciones legales [enlace] contra las personas que participen en "actividades maliciosas que causen daños reales" a sus clientes, lo que llevó a muchos a creer que la empresa estaba amenazando directamente al investigador de seguridad.

Desde abril, Nightmare Eclipse ha revelado múltiples exploits de día cero dirigidos a Microsoft Defender, BitLocker y varios otros componentes de Windows, ahora conocidos como LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma y UnDefend.

Si bien la compañía solucionó los fallos de YellowKey, GreenPlasma y MiniPlasma como parte del Patch Tuesday de junio de 2026 y RoguePlanet en julio, los otros fallos de seguridad revelados por Nightmare Eclipse siguen siendo días cero y aún esperan un parche oficial.

Fuente:
BleepingComputer