Cómo funciona: Una condición de carrera TOCTOU en el propio antivirus

La falla es una condición de carrera Tipo Verificar antes de Usar (TOCTOU, por sus siglas en inglés) que se origina en un problema de resolución incorrecta de enlaces (CWE-59) . El motor de protección antimalware de Microsoft se ejecuta como NT AUTHORITY\SYSTEM por diseño. El exploit enfrenta al motor contra sí mismo:

• Un usuario con pocos privilegios crea un enlace simbólico o un archivo especialmente manipulado que el motor verifica (Tiempo de Verificación) y luego lo intercambia justo antes de que el motor lo utilice (Tiempo de Uso).
• Al ganar esta carrera (usando un bloqueo de oportunidad u oplock para controlar el tiempo de manera confiable), el atacante redirige la operación de archivos del motor a una ubicación arbitraria, como un directorio que el atacante controla .
• Luego, el motor realiza una operación de archivo privilegiada (por ejemplo, escribir o ejecutar) en la ruta elegida por el atacante, generando efectivamente un shell de comandos que se ejecuta con privilegios SYSTEM .

El exploit es local — el atacante ya debe tener acceso de usuario estándar a la máquina — pero no requiere privilegios adicionales más allá de eso . También funciona independientemente de si la protección en tiempo real de Defender está activada o desactivada .

Puntuación CVSS y Gravedad

Microsoft asigna una puntuación base CVSS 3.1 de 7.8 (ALTA), utilizando Complejidad de Ataque: Baja (argumentando que el oplock hace que la carrera sea confiable). NVD enumera una puntuación base de 7.0 (ALTA) con Complejidad de Ataque: Alta (reconociendo la dificultad de la carrera). El vector temporal (E:F/RL:U/RC:C) arroja una puntuación temporal de 7.6 según la evaluación de Microsoft .

La vulnerabilidad está calificada como "Explotación Más Probable" en el Índice de Explotabilidad de Microsoft .

Cronología de Divulgación Pública

La brecha entre la publicación del exploit público y el reconocimiento de Microsoft fue crítica:

La brecha entre la publicación del exploit público (10 de junio) y el reconocimiento de Microsoft (16 de junio) fue de aproximadamente 6 días. A principios de julio de 2026, el exploit ha sido público durante aproximadamente un mes sin corrección .

Quién lo Descubrió: La Campaña Nightmare Eclipse

La vulnerabilidad fue descubierta y publicada por un investigador de seguridad que opera bajo los seudónimos Nightmare Eclipse (también conocido como Chaotic Eclipse) .

Este es el séptimo exploit en la campaña en curso del investigador dirigida a Microsoft Defender. Las fallas de Defender divulgadas anteriormente incluyeron vulnerabilidades anteriores de escalada de privilegios y omisiones, como BlueHammer, RedSun, UnDefend, YellowKey y GreenPlasma . TechRadar caracteriza a RoguePlanet como parte de "una campaña de investigación sostenida contra la superficie de ataque de Defender" . Las reproducciones de PoC validadas por grupos de terceros como ThreatLocker confirman la confiabilidad de la cadena de exploits .

Críticas de la Comunidad por la Demora del Parche

La prolongada brecha del parche atrajo duras críticas de la comunidad de seguridad:

• Red Hound describió la situación sin rodeos: "Un exploit funcional para el antivirus que se envía en cada copia de Windows ha sido público durante más de dos semanas, y todavía no hay parche" .
• Cloud Security Alliance señaló que al 19 de junio — nueve días después de la divulgación — no se había anunciado ningún parche ni cronograma de lanzamiento fuera de banda, calificando la ventana como "alarmante" para una vulnerabilidad que se envía en todos los sistemas Windows de consumo y empresariales .
• cve.tools informó que para el 1 de julio de 2026 (21 días después de la divulgación), no existía ningún parche, y la exposición prolongada era "inusual para un día cero explotado públicamente en un componente de seguridad central" .
• Múltiples fuentes destacaron la ironía de que el propio motor antivirus de Microsoft — la última línea de defensa — se estuviera utilizando como vector para un compromiso a nivel SYSTEM, y que la falta de urgencia de Microsoft estaba generando preguntas sobre sus procesos de respuesta a vulnerabilidades .

La frustración central: debido a que Defender está habilitado de forma predeterminada en todas las instalaciones de Windows, la vulnerabilidad tiene una enorme superficie de ataque, sin embargo, no se emitió ningún parche provisional (fuera de banda) a pesar de que el código de exploit funcional está disponible públicamente .

Mitigaciones Provisionales y Pasos que las Organizaciones Deben Tomar

Las fuentes recomiendan constantemente lo siguiente hasta que Microsoft envíe una solución permanente:

Aplicar la corrección cuando esté disponible

• Actualice el motor de protección antimalware de Microsoft (MsMpEng) una vez que Microsoft publique una actualización de seguridad. Por lo general, esto se entrega a través de Windows Update o Microsoft Update Catalog .
• No existía ninguna corrección al 10 de julio de 2026 — monitoree el aviso CVE y el Microsoft Security Response Center (MSRC) para obtener un lanzamiento fuera de banda .

Mitigaciones provisionales (sin parche disponible)

• Restrinja las cuentas de usuario locales. Dado que el exploit requiere inicio de sesión interactivo, minimice la cantidad de usuarios estándar en sistemas sensibles .
• Implemente AppLocker o WDAC (Windows Defender Application Control) para bloquear la ejecución de ejecutables y scripts no autorizados, incluidos los binarios PoC no confiables .
• Habilite las reglas de ASR (Reducción de la Superficie de Ataque) que pueden bloquear el robo de credenciales y procesos no confiables, aunque es posible que no detengan directamente la carrera TOCTOU .
• Monitoree los artefactos de exploit conocidos. El exploit se basa en la creación específica de oplocks y enlaces simbólicos. Implemente reglas de EDR que alerten sobre el uso anómalo de oplocks y la creación inesperada de enlaces simbólicos por parte de procesos que no sean SYSTEM .
• Priorice restringir el acceso físico/lógico a los endpoints de Windows para usuarios no confiables o no verificados. Este es el control provisional más confiable ya que la vulnerabilidad requiere ejecución de código local .
• Utilice modelos de mínimo privilegio — no otorgue derechos de administrador local a usuarios estándar, aunque tenga en cuenta que esto no evita el exploit (escala de usuario estándar a SYSTEM) .

Cómo funciona: Una condición de carrera TOCTOU en el propio antivirus

La falla es una condición de carrera Tipo Verificar antes de Usar (TOCTOU, por sus siglas en inglés) que se origina en un problema de resolución incorrecta de enlaces (CWE-59) . El motor de protección antimalware de Microsoft se ejecuta como NT AUTHORITY\SYSTEM por diseño. El exploit enfrenta al motor contra sí mismo:

• Un usuario con pocos privilegios crea un enlace simbólico o un archivo especialmente manipulado que el motor verifica (Tiempo de Verificación) y luego lo intercambia justo antes de que el motor lo utilice (Tiempo de Uso).
• Al ganar esta carrera (usando un bloqueo de oportunidad u oplock para controlar el tiempo de manera confiable), el atacante redirige la operación de archivos del motor a una ubicación arbitraria, como un directorio que el atacante controla .
• Luego, el motor realiza una operación de archivo privilegiada (por ejemplo, escribir o ejecutar) en la ruta elegida por el atacante, generando efectivamente un shell de comandos que se ejecuta con privilegios SYSTEM .

El exploit es local — el atacante ya debe tener acceso de usuario estándar a la máquina — pero no requiere privilegios adicionales más allá de eso . También funciona independientemente de si la protección en tiempo real de Defender está activada o desactivada .

Puntuación CVSS y Gravedad

Microsoft asigna una puntuación base CVSS 3.1 de 7.8 (ALTA), utilizando Complejidad de Ataque: Baja (argumentando que el oplock hace que la carrera sea confiable). NVD enumera una puntuación base de 7.0 (ALTA) con Complejidad de Ataque: Alta (reconociendo la dificultad de la carrera). El vector temporal (E:F/RL:U/RC:C) arroja una puntuación temporal de 7.6 según la evaluación de Microsoft .

La vulnerabilidad está calificada como "Explotación Más Probable" en el Índice de Explotabilidad de Microsoft .

Cronología de Divulgación Pública

La brecha entre la publicación del exploit público y el reconocimiento de Microsoft fue crítica:

La brecha entre la publicación del exploit público (10 de junio) y el reconocimiento de Microsoft (16 de junio) fue de aproximadamente 6 días. A principios de julio de 2026, el exploit ha sido público durante aproximadamente un mes sin corrección .

Quién lo Descubrió: La Campaña Nightmare Eclipse

La vulnerabilidad fue descubierta y publicada por un investigador de seguridad que opera bajo los seudónimos Nightmare Eclipse (también conocido como Chaotic Eclipse) .

Este es el séptimo exploit en la campaña en curso del investigador dirigida a Microsoft Defender. Las fallas de Defender divulgadas anteriormente incluyeron vulnerabilidades anteriores de escalada de privilegios y omisiones, como BlueHammer, RedSun, UnDefend, YellowKey y GreenPlasma . TechRadar caracteriza a RoguePlanet como parte de "una campaña de investigación sostenida contra la superficie de ataque de Defender" . Las reproducciones de PoC validadas por grupos de terceros como ThreatLocker confirman la confiabilidad de la cadena de exploits .

Críticas de la Comunidad por la Demora del Parche

La prolongada brecha del parche atrajo duras críticas de la comunidad de seguridad:

• Red Hound describió la situación sin rodeos: "Un exploit funcional para el antivirus que se envía en cada copia de Windows ha sido público durante más de dos semanas, y todavía no hay parche" .
• Cloud Security Alliance señaló que al 19 de junio — nueve días después de la divulgación — no se había anunciado ningún parche ni cronograma de lanzamiento fuera de banda, calificando la ventana como "alarmante" para una vulnerabilidad que se envía en todos los sistemas Windows de consumo y empresariales .
• cve.tools informó que para el 1 de julio de 2026 (21 días después de la divulgación), no existía ningún parche, y la exposición prolongada era "inusual para un día cero explotado públicamente en un componente de seguridad central" .
• Múltiples fuentes destacaron la ironía de que el propio motor antivirus de Microsoft — la última línea de defensa — se estuviera utilizando como vector para un compromiso a nivel SYSTEM, y que la falta de urgencia de Microsoft estaba generando preguntas sobre sus procesos de respuesta a vulnerabilidades .

La frustración central: debido a que Defender está habilitado de forma predeterminada en todas las instalaciones de Windows, la vulnerabilidad tiene una enorme superficie de ataque, sin embargo, no se emitió ningún parche provisional (fuera de banda) a pesar de que el código de exploit funcional está disponible públicamente .

Mitigaciones Provisionales y Pasos que las Organizaciones Deben Tomar

Las fuentes recomiendan constantemente lo siguiente hasta que Microsoft envíe una solución permanente:

Aplicar la corrección cuando esté disponible

• Actualice el motor de protección antimalware de Microsoft (MsMpEng) una vez que Microsoft publique una actualización de seguridad. Por lo general, esto se entrega a través de Windows Update o Microsoft Update Catalog .
• No existía ninguna corrección al 10 de julio de 2026 — monitoree el aviso CVE y el Microsoft Security Response Center (MSRC) para obtener un lanzamiento fuera de banda .

Mitigaciones provisionales (sin parche disponible)

• Restrinja las cuentas de usuario locales. Dado que el exploit requiere inicio de sesión interactivo, minimice la cantidad de usuarios estándar en sistemas sensibles .
• Implemente AppLocker o WDAC (Windows Defender Application Control) para bloquear la ejecución de ejecutables y scripts no autorizados, incluidos los binarios PoC no confiables .
• Habilite las reglas de ASR (Reducción de la Superficie de Ataque) que pueden bloquear el robo de credenciales y procesos no confiables, aunque es posible que no detengan directamente la carrera TOCTOU .
• Monitoree los artefactos de exploit conocidos. El exploit se basa en la creación específica de oplocks y enlaces simbólicos. Implemente reglas de EDR que alerten sobre el uso anómalo de oplocks y la creación inesperada de enlaces simbólicos por parte de procesos que no sean SYSTEM .
• Priorice restringir el acceso físico/lógico a los endpoints de Windows para usuarios no confiables o no verificados. Este es el control provisional más confiable ya que la vulnerabilidad requiere ejecución de código local .
• Utilice modelos de mínimo privilegio — no otorgue derechos de administrador local a usuarios estándar, aunque tenga en cuenta que esto no evita el exploit (escala de usuario estándar a SYSTEM) .