Nuevo zero-day de Windows otorga privilegios de sistema en sistemas parcheados

¿Qué ha ocurrido?

El investigador de seguridad conocido como Nightmare Eclipse ha publicado un nuevo exploit de escalada de privilegios locales denominado ShieldBreak. Según su descripción, permite a un atacante obtener privilegios de sistema (SYSTEM) en sistemas Windows totalmente parcheados, incluyendo Windows 10, Windows 11 25H2 y Windows Server 2025. El investigador afirma que el exploit tiene una tasa de éxito del 100% y que también afecta a Windows 10, aunque no proporciona soporte para esa versión en su PoC.

El anuncio se produjo pocas horas después del Patch Tuesday de Microsoft de agosto, que corrigió 421 vulnerabilidades, pero no incluyó un parche para esta nueva falla. Nightmare Eclipse sostiene que ShieldBreak es un bypass del parche de la vulnerabilidad RoguePlanet (CVE-2026-50656), corregida en julio. Sin embargo, el reconocido experto en seguridad Kevin Beaumont, ex empleado de Microsoft, ha señalado que ambas fallas operan de manera diferente: mientras RoguePlanet era una condición de carrera en el sistema de archivos, ShieldBreak utiliza una user-mode callback hook para modificar archivos durante un escaneo de hidratación en la nube de Defender mediante la API de Cloud Filter (cfapi).

Beaumont ha confirmado que ha probado el exploit y que funciona en la última versión de Windows 11, y ha publicado detecciones y consultas de caza para ayudar a los defensores a identificar posibles amenazas. Microsoft no ha respondido oficialmente sobre cuándo planea parchear esta vulnerabilidad.

¿Por qué es importante?

Este zero-day es significativo por varias razones. Primero, afecta a sistemas completamente parcheados, lo que demuestra que incluso las actualizaciones más recientes no son suficientes para protegerse contra este tipo de ataques. Segundo, es el décimo zero-day publicado por Nightmare Eclipse desde abril, lo que indica una campaña sostenida contra Microsoft. Tercero, la confirmación independiente de Kevin Beaumont añade credibilidad a la explotabilidad, lo que aumenta la urgencia de que las organizaciones implementen medidas de mitigación.

La escalada a privilegios de sistema es crítica porque permite a un atacante tomar control total del equipo, instalar malware, robar credenciales y moverse lateralmente en la red. En un entorno empresarial, esto podría comprometer datos sensibles y provocar graves daños.

¿Qué consecuencias tendrá?

Las consecuencias inmediatas incluyen un mayor riesgo de ataques dirigidos y no dirigidos. Los ciberdelincuentes podrían aprovechar este exploit en campañas de ransomware o espionaje. Además, la falta de un parche oficial obliga a los administradores a confiar en medidas provisionales, como las consultas de detección publicadas por Beaumont.

A largo plazo, esta situación refleja una tensión creciente entre los investigadores de seguridad y Microsoft. La estrategia de divulgación agresiva de Nightmare Eclipse, que publica exploits sin parches, ha generado debate sobre la ética de la divulgación responsable. Microsoft, que inicialmente amenazó con acciones legales, retrocedió ante las críticas de la comunidad.

Para las empresas, esto subraya la importancia de adoptar un enfoque de defensa en profundidad, que incluya monitoreo continuo, segmentación de red y políticas de mínimos privilegios.

¿Qué deben saber los lectores?

Los administradores de sistemas deben estar atentos a las actualizaciones de Microsoft y aplicar los parches de seguridad tan pronto como estén disponibles. Mientras tanto, deben implementar las consultas de detección proporcionadas por Kevin Beaumont para identificar posibles compromisos. También es recomendable limitar el uso de cuentas con privilegios elevados y utilizar herramientas de seguridad que detecten comportamientos anómalos.

Es importante señalar que, aunque el exploit se ha confirmado en entornos de prueba, no hay evidencia pública de que se esté utilizando activamente en ataques. Sin embargo, la rápida publicación de exploits funcionales por parte de Nightmare Eclipse aumenta la probabilidad de que los ciberdelincuentes lo integren en sus herramientas.

En resumen, este zero-day es un recordatorio de que la seguridad no es un estado estático, sino un proceso continuo de evaluación y adaptación.