Tras la amenaza legal de Microsoft, un investigador publica un nuevo fallo de Windows

Un investigador de seguridad publicó los detalles de una nueva vulnerabilidad en las versiones más recientes de Windows que permite a los hackers obtener acceso total al sistema de un dispositivo y sus datos, pese a haber enfrentado una amenaza legal de Microsoft semanas antes por la divulgación de fallas de software previamente desconocidas. El fallo, denominado ShieldBreak, es la última divulgación del investigador Nightmare Eclipse, quien en los últimos meses ha publicado detalles de varios fallos que afectan a productos de Microsoft, incluido Windows.

Según la publicación de Nightmare Eclipse, ShieldBreak explota una falla en Windows Defender, el motor de seguridad y antimalware integrado en Windows, lo que permite a un atacante elevar sus permisos de usuario de bajo nivel a acceso total al dispositivo y sus datos. Nightmare Eclipse publicó el exploit de prueba de concepto como una aplicación de Windows que requiere que el usuario la ejecute, y dijo que el fallo funciona en Windows 10, Windows 11 (incluida la versión 25H2 más reciente) y Windows Server 2025. El investigador de seguridad Will Dormann verificó que el fallo funciona y que Windows Defender debe estar activado para que el exploit tenga éxito.

El nuevo exploit se basa en uno anterior que Nightmare Eclipse desarrolló, llamado RoguePlanet, según el propio investigador. Microsoft lanzó un parche para RoguePlanet, pero Nightmare Eclipse dio a entender que la corrección no fue suficiente, y afirmó que el nuevo exploit demuestra una evasión total de ese parche anterior. Microsoft aún no ha publicado un parche para ShieldBreak; como la empresa no tuvo tiempo de corregirlo antes de la divulgación pública, el fallo se considera un día cero. Un vocero no identificado de Microsoft dijo que la empresa está “al tanto de la vulnerabilidad reportada y está investigando activamente la validez y la aplicabilidad potencial de estas afirmaciones”.

La divulgación es la más reciente en un largo ida y vuelta entre el investigador y Microsoft por la forma en que la empresa maneja los reportes de fallos. En publicaciones de blog, Nightmare Eclipse ha afirmado que Microsoft lo trató mal y no manejó sus reportes de forma adecuada, dando a entender que no tuvo otra opción que divulgar los fallos públicamente; varios fallos que el investigador divulgó previamente en Windows fueron explotados después en ataques reales contra organizaciones. En mayo, Microsoft publicó una entrada de blog amenazando con acciones legales contra investigadores de seguridad que divulguen detalles de días cero fuera de sus políticas de divulgación, lo que generó un fuerte rechazo de la comunidad de seguridad, muchos de cuyos miembros describieron experiencias similares. Microsoft luego moderó esos comentarios en una publicación en redes sociales, aunque la entrada de blog original sigue publicada sin cambios.

ShieldBreak se conoce un día después del lanzamiento mensual habitual de parches de seguridad de Microsoft, el llamado “Patch Tuesday”, el segundo mes consecutivo en que la cantidad de parches llegó a alrededor de 500 fallos o más, impulsada por el uso creciente de IA por parte de la empresa para encontrar y eliminar fallas de seguridad.

Por qué importa

El enfrentamiento muestra que las amenazas de Microsoft sobre su política de divulgación no han disuadido al menos a un investigador de hacer pública su investigación, y cada nueva evasión de una falla ya parcheada eleva la presión sobre cómo Microsoft gestiona la investigación de seguridad independiente de ahora en adelante.