Microsoft Defender vulnerability ("RoguePlanet")

RoguePlanet parece ser una vulnerabilidad de elevación de privilegios en Microsoft Defender, identificada públicamente como CVE-2026-50656, que podría permitir pasar de un usuario estándar a NT AUTHORITY\SYSTEM en Windows.

Qué se sabe

La información disponible indica que afecta al Microsoft Malware Protection Engine de Defender y que Microsoft ya confirmó que está trabajando en una actualización de seguridad. Varios informes señalan que el exploit funciona mediante una race condition y que se ha observado en sistemas Windows 10 y Windows 11 totalmente actualizados.

Impacto probable

Si se explota con éxito, un atacante podría obtener control total del sistema con privilegios SYSTEM, lo que habilita ejecución de comandos, modificación de configuraciones críticas e instalación de malware. También se ha informado de que el exploit podría funcionar incluso con la protección en tiempo real activada, por lo que desactivar Defender no sería una mitigación fiable.

Estado actual

Microsoft habría reconocido el problema y está preparando un parche, pero según las fuentes consultadas todavía no había fecha concreta de publicación. También se menciona que existe un PoC público, lo que eleva el riesgo de que otros actores lo estudien y lo adapten.

Recomendaciones

• Mantener Windows y Microsoft Defender completamente actualizados.
• Vigilar el lanzamiento del parche para CVE-2026-50656 e instalarlo en cuanto esté disponible.
• Si administras endpoints, reforzar controles como allowlisting o restricciones de ejecución, porque algunas fuentes indican que pueden bloquear la explotación.

Ahora mismo no parece prudente esperar solo al parche: las fuentes consultadas indican que no había corrección disponible en ese momento y que el exploit público ya existía, así que conviene aplicar medidas compensatorias de inmediato.

Medidas inmediatas

• Bloquea o restringe SMB saliente hacia Internet y redes no confiables, especialmente TCP 139 y 445, porque varias descripciones del ataque apuntan a recursos compartidos remotos como vector de disparo.
• Limita el montaje de VHD/VHDX para usuarios estándar mediante GPO, AppLocker o WDAC, ya que el escenario descrito depende de archivos de disco virtual manipulados.
• Aumenta la supervisión de MsMpEng.exe y de eventos de Defender para detectar caídas, reinicios anómalos o comportamientos extraños del motor de protección.
• Refuerza EDR/SIEM para alertar sobre montajes de discos desde rutas UNC y actividad inusual de análisis automático de archivos.

Qué sí y qué no

• Sí: endurecimiento de red, control de aplicaciones, monitorización y reducción de superficie de ataque.
• No: desactivar Defender como “solución”, porque el problema afecta precisamente al motor de Defender y no hay evidencia de que eso sea una mitigación fiable en todos los casos.

Prioridad práctica

Si gestionas un entorno corporativo, la prioridad sería: 1) bloquear SMB externo, 2) restringir VHD/VHDX, 3) vigilar telemetría y 4) desplegar el parche en cuanto Microsoft lo publique. En endpoints individuales, la recomendación mínima es mantener el sistema actualizado y evitar abrir o montar discos virtuales de origen no confiable hasta que exista corrección oficial.