El investigador Chaotic Eclipse reveló ShieldBreak, un exploit que anula el parche de Microsoft para la vulnerabilidad RoguePlanet en Microsoft Defender. Este fallo permite a los atacantes obtener privilegios de sistema y ejecutar código arbitrario en Windows 11 y Windows Server. Además, Microsoft lanzó correcciones para otros cientos de fallos de seguridad, incluyendo vulnerabilidades de escalada de privilegios.







El investigador de seguridad conocido como Chaotic Eclipse (también llamado INFINITE NIGHTMARE, MSNightmare y Nightmare-Eclipse) ha publicado una prueba de concepto (PoC) para un nuevo zero-day de Microsoft llamado ShieldBreak.

La vulnerabilidad, originada en Microsoft Defender para Windows, demuestra una evasión del parche para CVE-2026-50656 (puntuación CVSS: 7.8), también conocida como RoguePlanet.

RoguePlanet ha sido descrita como una condición de carrera que, si se explota con éxito, podría otorgar a un atacante la capacidad de generar una shell con privilegios de nivel SYSTEM, permitiéndole ejecutar código arbitrario o realizar acciones no autorizadas.

Aunque fue revelada por primera vez por el investigador en junio de 2026, Microsoft no lanzó un parche para la vulnerabilidad hasta casi un mes después. El gigante tecnológico lo describió como un problema de escalada de privilegios en el Motor de Protección contra Malware de Microsoft ("mpengine.dll").

Poco después, Chaotic Eclipse afirmó que las "actualizaciones de defensa en profundidad" introducidas por Microsoft para solucionar CVE-2026-50656 pueden causar que Defender filtre 8 bytes de datos al intentar abrir un archivo en ciertos escenarios en Windows 11 25H2 y Windows Server 2025. Microsoft informó en su momento que estaba al tanto del informe y que lo estaba investigando.

ShieldBreak, por otro lado, se evalúa como una evasión completa del parche para CVE-2026-50656, y el investigador afirma que "Microsoft ha fallado en parchear correctamente la vulnerabilidad RoguePlanet".

"La PoC fue probada en la versión más reciente de Windows 11 25h2 (+canal Canary) y Windows Server 2025, y la PoC también tiene una tasa de éxito del 100%", añadió el investigador. "Ten en cuenta que Windows 10 (y las respectivas ediciones de servidor) no cuentan con soporte actualmente, aunque también son vulnerables a ShieldBreak".

The Hacker News ha contactado con Microsoft y actualizaremos la historia si recibimos respuesta.

Este avance se produce mientras el creador de Windows lanzaba parches para 421 fallos de seguridad incluyendo 236 fallos en Windows. Uno de los parches afecta a CVE-2026-62832 (puntuación CVSS: 7.8), una vulnerabilidad de escalada de privilegios en el Servicio de Perfil de Usuario de Windows que fue revelada por Chaotic Eclipse el mes pasado bajo el nombre de LegacyHive.

"La resolución incorrecta de enlaces antes del acceso al archivo ('seguimiento de enlaces') en el Servicio de Perfil de Usuario de Windows permite que un atacante autorizado eleve los privilegios localmente", afirmó Microsoft.

"Un atacante autenticado que tenga credenciales de otra cuenta local podría ejecutar una aplicación especialmente diseñada para cargar la colmena del registro de otro usuario. La explotación exitosa podría permitir al atacante acceder o modificar los datos de otro usuario y obtener privilegios de administrador. No se requiere interacción del usuario".

También ha sido remediado por Microsoft un zero-day explotado activamente en el Controlador de Funciones Auxiliares de Windows para WinSock (CVE-2026-68820, puntuación CVSS: 7.0) que otorga privilegios SYSTEM, y una vulnerabilidad de manipulación del controlador de filtro FS de aislamiento de contenedores de Windows (unionfs.sys) revelada públicamente (CVE-2026-72971, puntuación CVSS: 5.5).

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido desde entonces CVE-2026-68820 a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo que las agencias federales apliquen las correcciones antes del 25 de agosto de 2026.

Fuente:
THN