RoguePlanet CVE-2026-50656: el zero-day sin parche en Microsoft Defender que da privilegios SYSTEM en cualquier Windows 10 y 11 completamente actualizado

El 17 de junio de 2026, Microsoft publico el advisory de CVE-2026-50656, el zero-day en el Microsoft Malware Protection Engine, el motor que impulsa Microsoft Defender, que un investigador de seguridad identificado como Nightmare Eclipse (tambien conocido como Chaotic Eclipse) habia divulgado dias antes bajo el nombre RoguePlanet. La vulnerabilidad es una race condition que permite a un atacante con acceso local y privilegios bajos obtener una shell cmd.exe con privilegios NT AUTHORITY\SYSTEM en Windows 10 y Windows 11 completamente parcheados, incluidas las actualizaciones del Patch Tuesday de junio de 2026. El PoC es publico. No existe parche disponible: Microsoft indico que esta trabajando en una actualizacion de seguridad de alta calidad sin dar fecha. El precedente directo es preocupante: los tres zero-days anteriores del mismo investigador, BlueHammer, RedSun y UnDefend, ya han sido explotados en ataques reales antes de ser parcheados.

‍

Que se sabe de CVE-2026-50656 RoguePlanet?

Los hechos documentados por Microsoft (advisory oficial), BleepingComputer, SecurityWeek, Help Net Security, The Hacker News, Picus Security y WindowsReport son los siguientes:

• Vulnerabilidad: race condition de tipo Time-of-Check to Time-of-Use (TOCTOU) en el path de procesamiento de ficheros del Microsoft Malware Protection Engine. El motor de Defender ejecuta operaciones de fichero con privilegios SYSTEM. Mediante redirecciones de path en NTFS (junctions y symlinks), un usuario sin privilegios puede hacer que el motor siga un enlace simbolico hacia una ruta que no deberia poder escribir, ejecutando codigo con privilegios de sistema.
• CVSS 7.8 (High): clasificado como Important por Microsoft. Ataque local, sin interaccion del usuario requerida despues del acceso inicial, privilegios bajos como punto de partida.
• Windows afectados: Windows 10 y Windows 11 completamente parcheados, incluidas las builds con el Patch Tuesday de junio 2026 instalado. El PoC fue validado en Windows 11 KB5094126 y en sistemas Windows 10 con actualizaciones de junio. Windows Server no se ve afectado en la forma actual del PoC porque los usuarios estandar no pueden montar imagenes ISO, aunque el investigador cree que podria adaptarse.
• Comportamiento del PoC: la race condition hace que el exploit sea probabilistico. El investigador indica tasas de exito del 100% en algunas maquinas y resultados irregulares en otras. Esto no es una mitigacion: un atacante con acceso local puede ejecutar el exploit en bucle hasta que tenga exito. El PoC funciona tanto con Real-Time Protection activada como desactivada, y tambien en modo pasivo de Defender.
• Sin parche disponible: Microsoft no ha publicado fecha para la actualizacion. La unica mitigacion tecnica efectiva mientras no existe parche es Application Control en modo enforced (WDAC o AppLocker).
• Nightmare Eclipse y el historial de zero-days: el investigador lleva publicando zero-days de Microsoft desde marzo de 2026, aparentemente como retaliacion por una disputa con la empresa sobre procesos de divulgacion y compensacion por vulnerabilidades. Microsoft revoco el acceso del investigador a MSRC. Los zero-days anteriores del mismo investigador que ya han sido explotados en ataques reales incluyen BlueHammer (CVE-2026-33825, LPE Windows), RedSun (CVE-2026-41091, LPE Windows, parcheado en Patch Tuesday de junio), y UnDefend (CVE-2026-45498, LPE Defender). GreenPlasma y YellowKey fueron parcheados en el Patch Tuesday de junio 2026. RoguePlanet es el siguiente en la secuencia y no tiene parche.
• Explotacion activa: Microsoft indica en el advisory que no ha detectado explotacion activa de CVE-2026-50656 a la fecha de publicacion. Sin embargo, el patron historico de la serie Nightmare Eclipse es que los exploits son explotados en ataques reales semanas despues de su publicacion.

‍

Por que un LPE en el motor de Defender es un riesgo de primer orden

Un ataque de escalada de privilegios locales puede parecer menos urgente que un RCE remoto. En el contexto de entornos corporativos Windows, esa evaluacion es incorrecta por tres razones:

1. Defender esta instalado y activo por defecto en el 100% de los endpoints Windows corporativos. A diferencia de un CVE en una aplicacion de terceros con penetracion parcial, CVE-2026-50656 afecta a cualquier Windows 10 o Windows 11 en produccion, independientemente de la configuracion o el sector. La superficie de ataque es el parque completo de endpoints Windows de la organizacion.
2. LPE es el segundo paso de la mayoria de los ataques avanzados, y el mas valioso. Los actores de amenaza raramente entran directamente con privilegios de administrador. El patron habitual es acceso inicial con privilegios bajos (via phishing, explotacion de navegador, macro maliciosa) seguido de escalada de privilegios para persistencia y movimiento lateral. CVE-2026-50656 proporciona ese segundo paso de forma fiable en cualquier Windows corporativo moderno. Con SYSTEM, el atacante puede instalar persistencia, deshabilitar EDRs, exfiltrar credenciales del LSASS, y pivotar hacia otros sistemas de la red.
3. El historial del investigador predice explotacion real proxima. BlueHammer, RedSun y UnDefend, los tres zero-days anteriores de Nightmare Eclipse, fueron explotados en ataques reales antes de que Microsoft publicara los parches. No existe razon tecnica o historica para asumir que RoguePlanet sea diferente. El PoC publico, funcional y documentado reduce la barrera de explotacion para otros actores, incluso si el propio investigador no intenta aprovecharlo.

‍

Como funciona RoguePlanet: la race condition que convierte Defender en vector de escalada

El mecanismo tecnico de CVE-2026-50656, documentado en el analisis de Picus Security y en el write-up del propio investigador, sigue este patron conceptual:

1. Preparacion del entorno de ataque. El atacante con acceso local y privilegios bajos crea un directorio o ruta que puede controlar en el sistema de ficheros. En el caso de RoguePlanet, implica el montaje de una imagen ISO, una capacidad disponible para usuarios estandar en Windows 10/11.
2. Activacion del motor de Defender. El atacante provoca que el motor del Malware Protection Engine procese un fichero en la ruta controlada. Defender hace esto automaticamente como parte de su funcionamiento normal: escanea ficheros cuando son creados, modificados o accedidos.
3. Explotacion de la race condition TOCTOU. Existe una ventana temporal entre el momento en que Defender verifica donde apunta la ruta (time of check) y el momento en que accede o escribe en esa ruta (time of use). Durante esa ventana, el atacante convierte el directorio controlado en un junction o symlink que apunta hacia una ruta privilegiada del sistema (por ejemplo, dentro de C:\Windows\System32).
4. Escritura o ejecucion con privilegios SYSTEM. Cuando el motor de Defender sigue el enlace simbolico en el time of use, ejecuta la operacion de fichero con sus propios privilegios SYSTEM en la ruta del sistema, no en la del atacante. Esto permite al atacante plantar o modificar ficheros ejecutables en ubicaciones privilegiadas.
5. Shell SYSTEM obtenida. El fichero malicioso colocado en la ruta privilegiada es ejecutado con privilegios SYSTEM, entregando al atacante una shell cmd.exe como NT AUTHORITY\SYSTEM, el nivel maximo de privilegios en Windows.

‍

Lecciones clave y mitigaciones disponibles mientras no existe parche

Sin parche disponible, las organizaciones deben evaluar las siguientes medidas de mitigacion y deteccion:

Mitigacion efectiva mientras no hay parche:

• Windows Defender Application Control (WDAC) en modo enforced. Picus Security confirma que WDAC en modo enforced bloquea el PoC de RoguePlanet. WDAC previene la ejecucion del codigo malicioso aunque la race condition se gane. Esta es la unica mitigacion tecnica solida disponible antes del parche. AppLocker en modo enforced ofrece una proteccion similar pero con menor robustez tecnica que WDAC.
• Activar Cloud-Delivered Protection en Microsoft Defender. Microsoft recomienda esta medida en el advisory. La proteccion entregada via nube puede detectar comportamiento anomalo del motor antes de que un parche especifico este disponible.
• Attack Surface Reduction (ASR) rules. Las reglas ASR de Defender pueden limitar los vectores de acceso inicial (macros, scripts maliciosos) que preceden tipicamente a una LPE en entornos corporativos.

Deteccion: el comportamiento post-explotacion genera senal clara:

• Monitorizar la creacion de procesos cmd.exe o powershell.exe con parent process MsMpEng.exe (el ejecutable del motor de Defender). Ese arbol de procesos es altamente anomalo y produce senal clara en cualquier EDR o SIEM bien configurado.
• Detectar intentos de montaje de imagenes ISO por usuarios estandar en endpoints corporativos. Muchos entornos pueden restringir esta capacidad via Group Policy (rechazar montaje de unidades virtuales desde el Explorador de Windows).
• Configurar alertas en el SIEM para accesos de escritura de MsMpEng.exe a rutas fuera del directorio esperado de Defender (C:\ProgramData\Microsoft\Windows Defender\) hacia rutas como C:\Windows\System32\.

Deshabilitar Real-Time Protection NO es una mitigacion:

• El investigador ha confirmado explicitamente que el PoC funciona tanto con RTP activada como desactivada, y tambien en modo pasivo. Deshabilitar Defender como medida preventiva expone el endpoint a amenazas adicionales sin mitigar CVE-2026-50656.

‍

La ciberseguridad como prioridad estrategica

RoguePlanet es el segundo post en cuatro dias sobre zero-days sin parche en herramientas de seguridad que se usan para proteger organizaciones: Splunk Enterprise el lunes, Microsoft Defender hoy. El patron es el mismo que el DBIR 2026 confirma: los atacantes invierten en encontrar vulnerabilidades en el software que las organizaciones confian para su defensa porque comprometer ese software es comprometer toda la postura de seguridad. Para las organizaciones que dependen de Microsoft Defender como capa de seguridad de endpoints, CVE-2026-50656 no es un riesgo hipotetico: BlueHammer, RedSun y UnDefend, las tres vulnerabilidades anteriores publicadas por el mismo investigador en el mismo formato, ya se explotaron en ataques reales. La pregunta de hoy no es si RoguePlanet sera explotado. Es si la organizacion tendra WDAC en enforced mode y deteccion de procesos SYSTEM spawneados por MsMpEng.exe cuando ocurra.

‍

Apolo Cybersecurity: evaluacion de la postura de seguridad de endpoints Windows ante CVE-2026-50656

En Apolo Cybersecurity ayudamos a organizaciones a evaluar y reforzar su postura ante zero-days sin parche como RoguePlanet: revision del estado de WDAC y AppLocker en la flota de endpoints, configuracion de reglas de deteccion para comportamiento anomalo del motor de Defender, implementacion de reglas ASR y Cloud-Delivered Protection, y evaluacion del riesgo acumulado por la serie de zero-days de Nightmare Eclipse que han derivado en explotacion real.

Si tu organizacion tiene endpoints Windows 10 o Windows 11 y no tiene WDAC en enforced mode, RoguePlanet es el recordatorio mas concreto del ano para revisar esa configuracion hoy.

‍