Dos fallas en Microsoft Defender explotadas en entornos reales elevan privilegios a SYSTEM y provocan DoS parche urgente

Microsoft ha confirmado que dos fallos en su motor antimalware han sido explotados activamente en entornos reales: uno de elevación de privilegios (CVE-2026-41091) calificado con 7.8 en la escala CVSS y otro de denegación de servicio (CVE-2026-45498) con puntuación 4.0. El primero permite a un atacante autorizado escalar a privilegios SYSTEM mediante un problema en la resolución de enlaces antes del acceso a archivos, mientras que el segundo puede interrumpir el servicio del componente de seguridad. Ambos errores han sido parcheados en las versiones del motor indicadas por Microsoft, por lo que la actualización es prioritaria.

La naturaleza local de la vulnerabilidad de elevación de privilegios significa que el atacante necesita algún grado de acceso inicial al equipo —por ejemplo, una cuenta de usuario o ejecución de código en contexto restringido— para luego aprovechar la falla y tomar control del sistema con permisos completos. Ese salto a SYSTEM convierte cualquier acceso limitado en una invasión integral del endpoint, con capacidad para deshabilitar controles, desplegar persistencia o mover lateralmente dentro de una red.

Microsoft ha señalado que los equipos con Microsoft Defender desactivado no son vulnerables a esta particular falla, pero desactivar soluciones de seguridad no es una mitigación aceptable en entornos productivos: deja los sistemas expuestos a amenazas conocidas y desconocidas. La compañía acreditó a varios investigadores por el descubrimiento, y ha incluido ambos fallos en su canal de correcciones mediante actualizaciones automáticas del motor y de las definiciones.

Si eres administrador o responsable de seguridad, verifica que la plataforma antimalware de Microsoft esté en las versiones que corrigen estos fallos (por ejemplo, Antimalware Platform 1.1.26040.8 y 4.18.26040.7 tal como informó Microsoft). Puedes consultar la documentación oficial sobre cómo mantener actualizado Microsoft Defender y los clientes: Cómo actualizar Microsoft Defender. Además, la inclusión de estos CVE en el catálogo de vulnerabilidades explotadas de CISA obliga a ciertas entidades federales a remediar en plazos concretos; revisa el catálogo para ver la lista completa y las fechas límite: CISA KEV (Known Exploited Vulnerabilities).

Para comprobar el estado en un equipo Windows, abre la aplicación de Windows Security, revisa la sección de Protección contra virus y amenazas y consulta las actualizaciones de protección; en la sección Acerca de (About) aparece también el número de versión del cliente antimalware que confirma si recibiste la corrección. En entornos gestionados, valida que WSUS, Intune o la solución de administración de parches que uses estén desplegando las actualizaciones del motor correctamente y que no existan políticas que impidan la actualización automática.

En términos de detección y respuesta, revisa los registros de Microsoft Defender (por ejemplo, los eventos bajo Microsoft-Windows-Windows Defender/Operational) y las alertas de tu EDR para actividades inusuales posteriores a explotación local: creación de servicios, cambios en arranques, manipulación del motor antivirus o escrituras a directorios protegidos. La caza de amenazas debe centrarse en actividad local que preceda a cambios en el contexto de seguridad, y en la explotación de enlaces simbólicos o técnicas de “link following” que se aprovechan de accesos a archivos.

Más allá de parchear, aplica controles compensatorios: reduce los privilegios locales por defecto, segmenta redes y limita la capacidad de ejecución de binarios no firmados o no aprobados; emplea políticas de restricción de aplicaciones y principios de menor privilegio para mitigar el impacto si una vulnerabilidad local se explota. Para organizaciones con alta exposición, considere aumentar la telemetría de endpoints y habilitar mecanismos de respuesta automatizada para aislar rápidamente hosts comprometidos.

La aparición de estas vulnerabilidades junto con otras añadidas recientemente al catálogo de CISA subraya que ni los fallos antiguos ni los nuevos deben ignorarse: la higiene de parches y la monitorización continua siguen siendo las defensas más efectivas. Prioriza la verificación de actualizaciones, coordina con los equipos de operaciones la distribución de los parches y documenta las verificaciones para demostrar cumplimiento frente a requisitos regulatorios o contractuales.