Windows en la mira por nuevo fallo de seguridad global: Microsoft se retractó de denunciar a quien lo hizo público

Un investigador independiente ha dado a conocer una vulnerabilidad crítica en las últimas versiones de Windows que habilita a atacantes a obtener el control total del sistema y los datos personales de los usuarios. La revelación, difundida por el especialista en ciberseguridad Nightmare Eclipse, expone una falla que afecta a millones de dispositivos en todo el mundo, mientras la empresa Microsoft enfrenta cuestionamientos por su respuesta ante este tipo de reportes.

El nuevo fallo ha sido denominado ShieldBreak y, según la publicación original de Nightmare Eclipse, explota una debilidad en Windows Defender, el sistema de protección antimalware integrado en el propio sistema operativo. Mediante este fallo, un atacante puede tomar el control del dispositivo al elevar sus permisos desde usuario básico hasta obtener acceso completo, incluyendo todos los archivos y configuraciones.

El investigador ha señalado que la vulnerabilidad afecta a Windows 10, Windows 11 (incluyendo la versión más reciente 25H2) y Windows Server 2025. El impacto potencial es considerable, ya que estos sistemas operativos se utilizan ampliamente tanto en hogares como en empresas de diferentes escalas.

Nightmare Eclipse ha publicado una prueba de concepto en forma de aplicación para Windows, la cual necesita ser ejecutada por el usuario objetivo para explotar la vulnerabilidad. Will Dormann, otro destacado investigador de seguridad, ha verificado de forma independiente el funcionamiento del fallo y ha confirmado que es imprescindible que Windows Defender esté habilitado para que el ataque sea efectivo.

De acuerdo con la información difundida por Nightmare Eclipse, ShieldBreak se basa en una vulnerabilidad previa identificada como RoguePlanet, la cual fue reportada a Microsoft. La empresa lanzó un parche para abordar aquel incidente, pero el investigador sostiene que la solución implementada por la compañía resultó insuficiente y que el nuevo fallo permite eludir por completo la corrección anterior.

Al ser consultado sobre el incidente más reciente, un portavoz de Microsoft que solicitó anonimato declaró que la compañía está “al tanto de la vulnerabilidad reportada y está investigando activamente la validez y la posible aplicabilidad de estas afirmaciones”.

La vulnerabilidad ShieldBreak se considera actualmente de día cero, dado que Microsoft no ha publicado aún una actualización para remediar el problema y los detalles del exploit ya se encuentran disponibles públicamente.

Respuesta pública de Microsoft

La relación entre Nightmare Eclipse y Microsoft ha sido tensa. El investigador ha denunciado en su blog que la empresa no gestionó adecuadamente sus anteriores informes de errores y, ante la falta de respuesta, optó por hacer públicos los detalles de las vulnerabilidades. En palabras recogidas en su publicación, “no tuve más remedio que divulgar públicamente los fallos en línea”.

En mayo pasado, Microsoft publicó una entrada en su blog donde advertía que podría emprender acciones legales contra quienes difundieran vulnerabilidades de día cero fuera de sus políticas de divulgación.

Esta advertencia generó críticas intensas en la comunidad de seguridad, cuyos integrantes relataron experiencias similares a las de Nightmare Eclipse respecto al trato recibido por parte de la empresa.

Ante la lluvia de críticas, Microsoft se retractó parcialmente en una publicación en X de su Centro de Respuesta de Seguridad: “Para ser claros sobre nuestro enfoque en asuntos legales, no tenemos intención de perseguir acciones contra individuos que realicen o publiquen su investigación de seguridad”. No obstante, la entrada original del blog continúa accesible y sin modificaciones.

Impacto y próximos pasos

El lanzamiento de ShieldBreak coincidió con el ciclo regular de actualizaciones de seguridad de Microsoft, conocido como Patch Tuesday. En agosto, la compañía alcanzó nuevamente la cifra de aproximadamente 500 parches distribuidos, reflejando el aumento de vulnerabilidades detectadas gracias a la integración de inteligencia artificial en sus procesos de revisión.

Por el momento, Microsoft no ha divulgado una solución oficial para el nuevo fallo. Mientras tanto, la revelación de ShieldBreak intensifica el debate sobre la responsabilidad de las grandes empresas tecnológicas en la gestión de vulnerabilidades y la protección de los usuarios.