Cómo RoguePlanet otorga acceso de nivel SYSTEM

RoguePlanet es un exploit de escalada de privilegios local (LPE) que apunta a una condición de carrera en la lógica de corrección de archivos de Microsoft Defender . Cuando Defender detecta un archivo malicioso—particularmente uno alojado en un servidor SMB remoto—valida la ruta del archivo antes de tomar medidas, como ponerlo en cuarentena o eliminarlo. La vulnerabilidad existe porque Defender no vuelve a validar la ruta en el momento en que realiza la operación de escritura, creando una ventana de tiempo estrecha .

Un atacante que gane esta condición de carrera puede redirigir a Defender para que sobrescriba sus propios archivos legítimos o ejecute código arbitrario, generando finalmente un símbolo del sistema con privilegios SYSTEM . Esto otorga control total sobre la máquina, pero el enfoque tiene un inconveniente significativo. El investigador describió el exploit como inherentemente poco fiable, calificándolo de "acierto o fracaso" y señalando un 100% de éxito en algunas máquinas pero un fracaso total en otras .

Varios detalles técnicos clave definen la amenaza:

• Se requiere acceso inicial: Un atacante ya debe tener acceso con pocos privilegios a la máquina objetivo antes de poder intentar la escalada .
• Confirmación independiente: La firma de seguridad ThreatLocker reprodujo con éxito el exploit en sistemas con todas las actualizaciones de junio de 2026 aplicadas .
• Sin solución actual: Hasta la fecha de la divulgación, la vulnerabilidad afecta a sistemas Windows 10 y Windows 11 completamente parcheados, sin que haya un parche disponible .

La técnica es una continuación de la investigación utilizada en divulgaciones anteriores de Nightmare Eclipse, como BlueHammer (CVE-2026-33825), que también explotaba una condición de carrera de tiempo de verificación a tiempo de uso (TOCTOU) en el proceso de corrección de Defender .

Un exploit programado para opacar el Patch Tuesday

El Patch Tuesday de junio de 2026 de Microsoft abordó un récord de 200 vulnerabilidades, incluyendo correcciones para dos fallos de Defender—BlueHammer y RedSun—que Nightmare Eclipse había divulgado públicamente en meses anteriores . La escala masiva de la actualización pretendía señalar una respuesta de seguridad integral.

Rapid7 señaló que tres de las vulnerabilidades divulgadas públicamente en el lote de junio estaban directamente vinculadas a la saga en curso con Nightmare Eclipse . La respuesta del investigador fue inmediata y teatral. El 28 de mayo, una publicación prometió un lanzamiento de día cero "rompehuesos" para el Patch Tuesday . La entrega de RoguePlanet apenas horas después de que los parches se publicaran fue una declaración directa de que el proceso era insuficiente .

La disputa de meses detrás del exploit

El lanzamiento de RoguePlanet no ocurrió de forma aislada. Es el séptimo día cero publicado por Nightmare Eclipse desde abril de 2026, cada uno escalando una amarga disputa con Microsoft que ha involucrado a la comunidad de seguridad en general .

Las quejas del investigador

Nightmare Eclipse, que también utiliza los seudónimos Chaotic Eclipse y MSNightmare, afirma haber enviado repetidamente informes de vulnerabilidad a través del portal oficial MSRC de Microsoft, solo para ser ignorados, cerrados sin explicación, o recibidos con respuestas despectivas . El investigador alega además que Microsoft desactivó sus cuentas en GitHub, GitLab y el portal MSRC, cortando efectivamente todos los canales oficiales para reportar errores . Sintiéndose humillado públicamente y sin recursos, el investigador comenzó a publicar exploits de día cero completos, incluyendo código de prueba de concepto funcional .

La cascada de días cero

Antes de RoguePlanet, se habían divulgado públicamente seis vulnerabilidades, cada una ampliando el alcance de los sistemas afectados:

• BlueHammer (CVE-2026-33825) — Una condición de carrera en Defender que lleva a LPE
• RedSun (CVE-2026-41091) — Otro fallo LPE de Defender
• UnDefend (CVE-2026-45498) — Una tercera vulnerabilidad de Defender
• YellowKey, GreenPlasma y MiniPlasma — Fallos que afectan componentes como BitLocker y CTF

A finales de mayo, se confirmó que tres de estos—BlueHammer, RedSun y UnDefend—estaban siendo explotados activamente en la naturaleza, y la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) los añadió a su catálogo de vulnerabilidades explotadas conocidas .

La respuesta escalada de Microsoft y su retirada

La respuesta inicial de Microsoft fue contundente. La empresa publicó una entrada de blog condenando las divulgaciones no coordinadas como "irresponsables" y advirtiendo que exponían a los clientes a un riesgo significativo antes de que los parches estuvieran disponibles . La situación se intensificó a finales de mayo cuando Microsoft amenazó con remitir el asunto a las autoridades para una investigación penal, un movimiento que provocó una reacción inmediata de la comunidad de seguridad .

Los críticos argumentaron que el manejo de Microsoft de los informes originales—ignorarlos o cerrarlos y revocar las cuentas del investigador—fue la causa raíz de las divulgaciones públicas . La presión tuvo un efecto medible. Para el 2 de junio, Microsoft suavizó públicamente su postura, emitiendo un comunicado en el que afirmaba que "no tiene intención de tomar medidas contra personas que realicen o publiquen investigaciones de seguridad" . Sin embargo, el daño ya era público y el lanzamiento prometido para el Patch Tuesday llegó según lo previsto.

RoguePlanet es el producto tangible de un proceso de divulgación roto. Demuestra un exploit funcional en sistemas que, según todos los informes oficiales, eran completamente seguros. Para los defensores, la lección inmediata es que el Patch Tuesday por sí solo no puede considerarse un límite de seguridad completo cuando las condiciones de carrera no resueltas en los productos de seguridad centrales siguen siendo explotables.

Cómo RoguePlanet otorga acceso de nivel SYSTEM

RoguePlanet es un exploit de escalada de privilegios local (LPE) que apunta a una condición de carrera en la lógica de corrección de archivos de Microsoft Defender . Cuando Defender detecta un archivo malicioso—particularmente uno alojado en un servidor SMB remoto—valida la ruta del archivo antes de tomar medidas, como ponerlo en cuarentena o eliminarlo. La vulnerabilidad existe porque Defender no vuelve a validar la ruta en el momento en que realiza la operación de escritura, creando una ventana de tiempo estrecha .

Un atacante que gane esta condición de carrera puede redirigir a Defender para que sobrescriba sus propios archivos legítimos o ejecute código arbitrario, generando finalmente un símbolo del sistema con privilegios SYSTEM . Esto otorga control total sobre la máquina, pero el enfoque tiene un inconveniente significativo. El investigador describió el exploit como inherentemente poco fiable, calificándolo de "acierto o fracaso" y señalando un 100% de éxito en algunas máquinas pero un fracaso total en otras .

Varios detalles técnicos clave definen la amenaza:

• Se requiere acceso inicial: Un atacante ya debe tener acceso con pocos privilegios a la máquina objetivo antes de poder intentar la escalada .
• Confirmación independiente: La firma de seguridad ThreatLocker reprodujo con éxito el exploit en sistemas con todas las actualizaciones de junio de 2026 aplicadas .
• Sin solución actual: Hasta la fecha de la divulgación, la vulnerabilidad afecta a sistemas Windows 10 y Windows 11 completamente parcheados, sin que haya un parche disponible .

La técnica es una continuación de la investigación utilizada en divulgaciones anteriores de Nightmare Eclipse, como BlueHammer (CVE-2026-33825), que también explotaba una condición de carrera de tiempo de verificación a tiempo de uso (TOCTOU) en el proceso de corrección de Defender .

Un exploit programado para opacar el Patch Tuesday

El Patch Tuesday de junio de 2026 de Microsoft abordó un récord de 200 vulnerabilidades, incluyendo correcciones para dos fallos de Defender—BlueHammer y RedSun—que Nightmare Eclipse había divulgado públicamente en meses anteriores . La escala masiva de la actualización pretendía señalar una respuesta de seguridad integral.

Rapid7 señaló que tres de las vulnerabilidades divulgadas públicamente en el lote de junio estaban directamente vinculadas a la saga en curso con Nightmare Eclipse . La respuesta del investigador fue inmediata y teatral. El 28 de mayo, una publicación prometió un lanzamiento de día cero "rompehuesos" para el Patch Tuesday . La entrega de RoguePlanet apenas horas después de que los parches se publicaran fue una declaración directa de que el proceso era insuficiente .

La disputa de meses detrás del exploit

El lanzamiento de RoguePlanet no ocurrió de forma aislada. Es el séptimo día cero publicado por Nightmare Eclipse desde abril de 2026, cada uno escalando una amarga disputa con Microsoft que ha involucrado a la comunidad de seguridad en general .

Las quejas del investigador

Nightmare Eclipse, que también utiliza los seudónimos Chaotic Eclipse y MSNightmare, afirma haber enviado repetidamente informes de vulnerabilidad a través del portal oficial MSRC de Microsoft, solo para ser ignorados, cerrados sin explicación, o recibidos con respuestas despectivas . El investigador alega además que Microsoft desactivó sus cuentas en GitHub, GitLab y el portal MSRC, cortando efectivamente todos los canales oficiales para reportar errores . Sintiéndose humillado públicamente y sin recursos, el investigador comenzó a publicar exploits de día cero completos, incluyendo código de prueba de concepto funcional .

La cascada de días cero

Antes de RoguePlanet, se habían divulgado públicamente seis vulnerabilidades, cada una ampliando el alcance de los sistemas afectados:

• BlueHammer (CVE-2026-33825) — Una condición de carrera en Defender que lleva a LPE
• RedSun (CVE-2026-41091) — Otro fallo LPE de Defender
• UnDefend (CVE-2026-45498) — Una tercera vulnerabilidad de Defender
• YellowKey, GreenPlasma y MiniPlasma — Fallos que afectan componentes como BitLocker y CTF

A finales de mayo, se confirmó que tres de estos—BlueHammer, RedSun y UnDefend—estaban siendo explotados activamente en la naturaleza, y la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) los añadió a su catálogo de vulnerabilidades explotadas conocidas .

La respuesta escalada de Microsoft y su retirada

La respuesta inicial de Microsoft fue contundente. La empresa publicó una entrada de blog condenando las divulgaciones no coordinadas como "irresponsables" y advirtiendo que exponían a los clientes a un riesgo significativo antes de que los parches estuvieran disponibles . La situación se intensificó a finales de mayo cuando Microsoft amenazó con remitir el asunto a las autoridades para una investigación penal, un movimiento que provocó una reacción inmediata de la comunidad de seguridad .

Los críticos argumentaron que el manejo de Microsoft de los informes originales—ignorarlos o cerrarlos y revocar las cuentas del investigador—fue la causa raíz de las divulgaciones públicas . La presión tuvo un efecto medible. Para el 2 de junio, Microsoft suavizó públicamente su postura, emitiendo un comunicado en el que afirmaba que "no tiene intención de tomar medidas contra personas que realicen o publiquen investigaciones de seguridad" . Sin embargo, el daño ya era público y el lanzamiento prometido para el Patch Tuesday llegó según lo previsto.

RoguePlanet es el producto tangible de un proceso de divulgación roto. Demuestra un exploit funcional en sistemas que, según todos los informes oficiales, eran completamente seguros. Para los defensores, la lección inmediata es que el Patch Tuesday por sí solo no puede considerarse un límite de seguridad completo cuando las condiciones de carrera no resueltas en los productos de seguridad centrales siguen siendo explotables.