A mediados deJune 2026, Microsoft reconoció la existencia de RoguePlanet, una vulnerabilidad que permite la escalada de privilegios en el motor de protección contra malware de Microsoft (mpengine.dll), el motor de análisis en el que se basa Windows Defender. Microsoft lo ha calificado como «Más probable que se produzca un ataque» en su Índice de Vulnerabilidad y le ha asignado una puntuación CVSS de 7.8. Microsoft publicó una corrección para la versión 1.1.26060.3008 del Motor de protección contra malware durante su ciclo de parches « July 2026 ».
En August 11, 2026, un investigador de seguridad publicó una nueva prueba de concepto, denominada «ShieldBreak», en la que afirma haber logrado eludir por completo el parche de julio de Microsoft. Se ha comprobado que la prueba de concepto (PoC) presenta una tasa de éxito del 100 % frente a Windows 11 25H2 —incluidas las versiones del canal Canary— y Windows Server 2025; varios medios informan de que Windows 10 y sus equivalentes para servidor siguen siendo vulnerables a la misma falla subyacente, aunque la prueba de concepto pública no los tiene oficialmente como objetivo. Unas pruebas independientes han confirmado que la vulnerabilidad funciona y han revelado que es necesario que Windows Defender esté activado para que la explotación tenga éxito. En el momento de redactar este artículo, Microsoft aún no ha publicado una actualización que solucione esta vulnerabilidad, y en su « : Security Update Guide for CVE-2026-50656» (: Guía de actualizaciones de seguridad para 101) sigue indicando que la actualización del motor de julio es la solución disponible.
En qué consiste la vulnerabilidad
RoguePlanet es una condición de carrera (una ventana de sincronización del tipo «comprobar y luego actuar») en el archivo mpengine.dll que un atacante local puede aprovechar durante un análisis de archivos para redirigirlo a un shell de comandos que se ejecuta como NT AUTHORITY\SYSTEM. La corrección de Microsoft del mes de julio cerró una vía de acceso al código vulnerable. ShieldBreak reabre la carrera subyacente mediante una técnica diferente: registra un proveedor de almacenamiento en la nube no autorizado, lo vincula a un archivo marcador de posición creado ad hoc y combina la manipulación de los registros de CLFS con enlaces simbólicos de Object Manager para engañar al proceso de análisis de Defender y hacer que bloquee un archivo legítimo del sistema (identificado como phoneinfo.dll), mientras que, en su lugar, se sustituye por un archivo malicioso, lo que finalmente da lugar a la creación de un shell con privilegios de nivel SYSTEM. Según la clasificación del MITRE ATT&CK, las técnicas pertinentes son la T1068 (Aprovechamiento para la escalada de privilegios) y la T1574 (Secuestro del flujo de ejecución).
Aspectos clave que debe tener en cuenta
- Requiere, en primer lugar, la ejecución de código local: un atacante necesita un punto de acceso previo (una sesión de usuario estándar, un archivo malicioso que ejecute el usuario o una carga útil de una fase anterior) para escalar privilegios. No se trata de un ataque remoto sin autenticación.
- Para que el exploit funcione, es necesario que Windows Defender esté activado y realizando análisis de forma activa; los dispositivos en los que Defender esté desactivado, o en los que el antivirus registrado sea otro producto, no se ven afectados.
- Se ha confirmado una tasa de éxito del 100 % en Windows 11 25H2 (incluido el canal Canary) y Windows Server 2025; según se ha informado, Windows 10 y sus equivalentes para servidor comparten la vulnerabilidad subyacente, pero no son el objetivo oficial de la prueba de concepto (PoC) pública actual.
- Actualmente, ninguna actualización de seguridad de Microsoft soluciona la vulnerabilidad «ShieldBreak». La actualización (1.1.26060.3008) del motor de protección contra malware « July 2026 » solo solucionaba la ruta original de RoguePlanet.
Cómo puede ayudarle Tanium
Tanium Guardian: El panel de control «ShieldBreak: Vulnerabilidad de día cero de Windows Defender» muestra qué terminales tienen registrado a Windows Defender como proveedor de antivirus activo, así como el número real de sistemas expuestos, ya que la vulnerabilidad no se ejecuta cuando Defender está desactivado o hay otro producto registrado; además, incluye una acción para implementar la medida de mitigación provisional: un marcador de posición de 0 bytes para el archivo «phoneinfo.dll» que bloquea el paso de sustitución de archivos del que depende la vulnerabilidad, junto con un paquete de reversión. Pruebe la medida de mitigación con un grupo reducido antes de implementarla a gran escala; puede provocar efectos no deseados.
Tanium Threat Response: Ejecute las señales de la sección «Hunting Guidance» (Orientación para la búsqueda) del panel de control: una de ellas señala los procesos secundarios del proceso de informe de errores de Windows (wermgr.exe) iniciados con la línea de comandos «-upload», y otra señala los procesos que no pertenecen al sistema y que escriben archivos Report.wer en la ruta ReportQueue de WER, ajustadas para evitar falsos positivos conocidos ( PerfWatson2.exe y devenv.exe de Visual Studio, HxD.exe y ScenarioEngine.exe de SQL Server). La actividad de ShieldBreak sin modificar debería seguir activando la señal existente de Tanium: «Conhost Spawned Executable», así como las firmas nativas de Windows Defender; no obstante, los atacantes que utilicen el exploit como arma podrían eludir la detección basada en firmas.
Tanium Interact: Ejecute las consultas predefinidas del panel de control (actividad de archivos de usuarios que no sean «SYSTEM» para archivos «Report.wer», árbol de procesos descendientes de «wermgr.exe» y procesos de usuarios «SYSTEM» con «Informes de errores de Windows» en su árbol de ascendencia) para evaluar de forma puntual la actividad en todo el parque informático.
Referencias
- Guía de actualizaciones de seguridad de Microsoft, CVE-2026-50656
- CVE-2026-50656 Detalles - NVD
- CVE-2026-50656 - Registro CVE
- Kudelski Security, «RoguePlanet»: vulnerabilidad de día cero en Microsoft Defender que permite la escalada de privilegios
- Security Affairs, ShieldBreak: Una nueva vulnerabilidad de día cero en Windows elude el parche «RoguePlanet» de Microsoft
- Security Affairs: Microsoft confirma la vulnerabilidad de día cero de RoguePlanet; se está desarrollando un parche
- Security Affairs: Microsoft ha corregido una vulnerabilidad de Defender (RoguePlanet CVE-2026-50656)
- Guía del usuario de Tanium Threat Response: cómo añadir información (señales)
- Guía del usuario de Tanium Interact: Descripción general de Interact
Equipo de Investigación de Guardian
El equipo de investigación de The Guardian es un grupo especializado de expertos en ciberseguridad encargado de identificar, analizar y proporcionar información útil sobre amenazas críticas, emergentes y de día cero.
