RoguePlanet: la vulnerabilidad de Defender que permite escalar a SYSTEM con solo código local y el parche que llega

Microsoft ha publicado una actualización de seguridad para corregir una vulnerabilidad crítica en su motor antimalware conocida como «RoguePlanet» (CVE-2026-50656), casi un mes después de que los detalles se hicieran públicos. Se trata de una falla de escalada de privilegios en mpengine.dll, el componente responsable del escaneo y la limpieza en las soluciones Defender, y fue corregida en la versión del motor 1.1.26060.3008 junto con mejoras de defensa en profundidad para endurecer funciones relacionadas con la seguridad.

El investigador que divulgó el fallo, conocido como Chaotic Eclipse (alias Nightmare-Eclipse), describió RoguePlanet como una condición de carrera que permite ejecutar una shell con privilegios SYSTEM, lo que a su vez posibilita la ejecución de código arbitrario o acciones no autorizadas. Según los reportes, la prueba de concepto funciona incluso en sistemas con las actualizaciones de junio de 2026 aplicadas y sin importar si la protección en tiempo real de Defender está activada, lo que eleva la gravedad práctica del problema.

Desde una perspectiva de riesgo operativo, RoguePlanet es significativo porque no requiere vulnerabilidades remotas adicionales: basta con un contexto local (por ejemplo, un proceso con permisos limitados o un usuario engañado para ejecutar código) para escalar a SYSTEM. Esto la convierte en una pieza útil para atacantes que buscan persistencia o para combinarla en cadenas de explotación más complejas. Para entornos corporativos esto implica que amenazas inicialmente confinadas a una cuenta no privilegiada pueden convertirse rápidamente en compromiso del sistema si el motor antimalware no está actualizado o si existen malas prácticas de administración de privilegios.

Microsoft indica que, en condiciones normales, los clientes no deben realizar acciones adicionales porque los motores y definiciones se actualizan automáticamente con la configuración por defecto; sin embargo, la realidad de las grandes organizaciones suele incluir políticas de actualización controladas, desconexiones o endpoints fuera de gestión. Por eso es recomendable verificar activamente la versión del motor y el estado de actualización en servidores y estaciones de trabajo críticos, especialmente en aquellos que utilizan herramientas de actualización centralizada como Windows Update for Business, Intune o ConfigMgr. Microsoft ofrece documentación sobre el motor y sus actualizaciones que puede servir de referencia: Microsoft Malware Protection Engine (documentación).

Además de aplicar la versión 1.1.26060.3008, las medidas de mitigación operativas deberían incluir refuerzo de políticas de mínimos privilegios, revisión de cuentas con permisos elevados, segmentación de redes y monitoreo de eventos relevantes en los registros de Windows para detectar elevaciones de privilegio inusuales. Si se sospecha que un nodo ha sido explotado, la respuesta debe contemplar la recolección de evidencias y la limpieza o reinstalación según la gravedad, y en caso de detección de explotación activa contactar al soporte de seguridad correspondiente y a la respuesta de incidentes de Microsoft.

El historial del investigador —que ya ha revelado otras vulnerabilidades en Defender como BlueHammer, UnDefend y RedSun— pone de manifiesto dos lecciones: por un lado, que componentes de software con altos privilegios (como motores de escaneo) son objetivos valiosos y, por otro, que es necesario mantener y reforzar procesos de pruebas (fuzzing, revisiones de código y análisis temporal) en piezas críticas del stack de seguridad. Para comprobar detalles técnicos y la puntuación CVSS de RoguePlanet puede consultarse la ficha pública del CVE: CVE-2026-50656 en NVD.

Finalmente, aunque Microsoft no haya acreditado públicamente al investigador en esta ocasión, la cadena de divulgaciones previas y posteriores es un recordatorio de que la política de divulgación responsable y la coordinación entre investigadores, proveedores y administradores sigue siendo clave para reducir la ventana de exposición. Si administra sistemas Windows, confirme la actualización del motor, revise la configuración de actualización automática y priorice escaneos y auditorías en endpoints críticos.