Microsoft ha publicado parches de seguridad para tres vulnerabilidades de día cero, incluyendo dos que permiten a atacantes obtener privilegios SYSTEM en sistemas Windows completamente actualizados y una tercera que concede acceso a unidades protegidas con BitLocker.
Las tres fallas fueron divulgadas el mes pasado por un investigador de seguridad que utiliza el pseudónimo 'Nightmare Eclipse', en protesta por la forma en que el Centro de Respuesta de Seguridad de Microsoft (MSRC) maneja el proceso de divulgación.
Denominadas 'GreenPlasma' y 'MiniPlasma', las dos vulnerabilidades de elevación de privilegios (registradas como CVE-2026-45586 y CVE-2020-17103) se encuentran en el Marco de Traducción Colaborativa (CTFMON) y el Controlador de Filtro de Archivos en la Nube, respectivamente. Permiten a atacantes locales obtener un shell con permisos SYSTEM en sistemas Windows completamente parcheados.
El tercer día cero, conocido como YellowKey (CVE-2026-45585), actúa como una puerta trasera en el Entorno de Recuperación de Windows (WinRE), utilizado para reparar problemas de arranque. Atacantes con acceso físico pueden explotarlo para eludir la protección BitLocker en sistemas Windows 11 y Windows Server 2022/2025 sin parchear.
Microsoft compartió medidas de mitigación para YellowKey y criticó que la prueba de concepto se haya hecho pública, violando las mejores prácticas de divulgación coordinada de vulnerabilidades. Las correcciones se incluyen en las actualizaciones del martes de parches de junio de 2026.
En los últimos meses, Nightmare Eclipse ha publicado pruebas de concepto para BlueHammer (CVE-2026-33825) y RedSun (sin identificador), dos días cero de elevación de privilegios locales que ya se explotan activamente. También filtró UnDefend, un día cero que permite a usuarios estándar bloquear las actualizaciones de definiciones de Microsoft Defender. Horas después de los parches de junio, el investigador divulgó otro exploit de Defender llamado RoguePlanet, que permite ejecutar comandos con privilegios SYSTEM.
Microsoft inicialmente amenazó con acciones legales, pero dio marcha atrás tras una fuerte reacción en redes sociales, y declaró que trabajaría con las autoridades cuando los investigadores 'violen la ley y realicen actividades maliciosas que causen daño real a nuestros clientes'.
