Un fallo de tipo zero-day ha vuelto a poner en aprietos a Microsoft Defender apenas unas horas después del último Patch Tuesday. Un investigador que firma bajo el alias Nightmare Eclipse ha hecho público ShieldCrash, un exploit que permite hacerse con privilegios SYSTEM en equipos con Windows 10, Windows 11 y Windows Server, incluso cuando están al día con las actualizaciones. Lo curioso, y a la vez inquietante, es que sortea justo el parche que Redmond había lanzado el jueves anterior para tapar un problema muy parecido.
Según cuenta el propio autor, ShieldCrash funciona como un bypass directo de ShieldBreak, la vulnerabilidad de escalada de privilegios catalogada como CVE-2026-69414 y corregida ese mismo jueves. Sus palabras no dejan mucho margen a la interpretación. Microsoft, dice, no parcheó bien ShieldBreak, y bajo ciertas condiciones todavía se puede desencadenar exactamente el mismo problema. Arreglaron varias cosas para evitar que el fallo volviera a explotarse, pero se les escapó un punto por el que sigue abierto.
Cómo ShieldCrash reabre el agujero que dejó ShieldBreak
La prueba de concepto que ha compartido el investigador demuestra una lectura arbitraria de archivos con privilegios SYSTEM, y afecta a todas las versiones de Windows soportadas que ya tienen instaladas las actualizaciones de septiembre de 2026. Eso sí, Nightmare Eclipse admite que lo publicado es apenas un esqueleto. Podría convertirlo más adelante en un exploit SYSTEM completo, aunque de momento no lo ha hecho, y la razón que da es tan sincera como poco habitual en estos casos, pura pereza.
El nombre delata el parentesco. ShieldCrash es un bypass de ShieldBreak, que a su vez era un bypass de RoguePlanet, otro fallo de Defender que salió a la luz en junio y que Microsoft corrigió en julio. Toda esa cadena de bypasses encadenados sobre el mismo componente apunta a algo bastante claro, la vía de escalada que explota esta familia de errores no ha quedado del todo cerrada con los parches aplicados hasta ahora.
Link affiliatoUna lista de zero-days que no deja de crecer en el antivirus
ShieldCrash es solo el último capítulo de una racha que este investigador arrastra desde abril. Antes llegaron ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma y UnDefend, todos dirigidos contra Microsoft Defender, BitLocker y otros componentes de Windows. Nueve vulnerabilidades distintas en apenas medio año. La cadencia habla por sí sola del ritmo al que Nightmare Eclipse ha estado apretando a la compañía.
De toda esa lista, Microsoft ha conseguido cerrar ShieldBreak, RoguePlanet, YellowKey, GreenPlasma y MiniPlasma. El resto, es decir LegacyHive, BlueHammer, RedSun y UnDefend, sigue sin un parche oficial. Eso deja a los equipos de seguridad tirando de mitigaciones propias mientras esperan una respuesta. Quien administre sistemas Windows en producción hará bien en tener claro qué fallos afectan a su entorno y cuáles siguen abiertos sin solución a la vista.
Y hay un telón de fondo que conviene no perder de vista. La aparición de ShieldCrash llega en plena bronca entre el investigador y Microsoft por las políticas de recompensas y divulgación de fallos. La empresa ha respondido advirtiendo de posibles acciones legales contra quien realice actividad maliciosa que cause daño real a sus clientes. Buena parte de la comunidad de seguridad lo ha leído como lo que parece, un aviso apuntando directamente a Nightmare Eclipse, en una disputa que ya dura meses.
Fuente
Imagen: softzone.es
Link affiliato