Defender bajo fuego: Dos vulnerabilidades activamente explotadas y el punto ciego en el SOC

Microsoft Defender, que funciona como capa de protección en millones de sistemas Windows, tiene dos vulnerabilidades explotadas activamente. Una de ellas permite una escalada de privilegios locales. La CISA las ha incluido en su catálogo de vulnerabilidades explotadas y ha establecido un plazo de 3 de junio para las agencias federales. Para los SOC de DACH, el caso es menos una alarma que un recordatorio: incluso la herramienta que protege es una superficie de ataque.

Relacionado:El tiempo de explotación se reduce a 24 a 48 horas  /  Responsabilidad cibernética en la administración

¿Qué se está explotando exactamente?

¿Qué es una brecha de escalada de privilegios? Una vulnerabilidad de escalada de privilegios permite a un atacante con acceso restringido en un sistema obtener privilegios superiores, llegando incluso al control total en casos extremos. Es rara la primera fase de un ataque, pero casi siempre decisiva.

La vulnerabilidad más grave lleva la identificación CVE-2026-41091 y una puntuación CVSS de 7,8. Se trata de un error de seguimiento de enlaces: Defender sigue, bajo ciertas condiciones, un enlace manipulado y accede a un archivo al que el atacante no debería tener acceso privilegiado. El resultado es una escalada de privilegios locales. Quien ya tiene acceso al sistema, por phishing o otra vulnerabilidad, puede ampliarlo hasta el control total.

La segunda vulnerabilidad, CVE-2026-45498, con una puntuación CVSS de 4,0, es mucho menos grave. Permite una denegación de servicio, es decir, el apagado deliberado del servicio. Es molesto, pero no constituye una entrada para la toma de control. Ambas vulnerabilidades se superponen, según Microsoft, con los cero días publicados en abril bajo los nombres RedSun y UnDefend.

El término «explotada activamente» es la diferencia clave. Una vulnerabilidad teórica es un riesgo en papel. Una vulnerabilidad explotada significa que existe código en algún lugar que la activa. La CISA no incluye una vulnerabilidad en su catálogo porque sea peligrosa, sino porque se ha demostrado que se está utilizando. Esta distinción debe guiar la priorización interna. Una brecha de 7,8 sin explotación puede esperar, la misma brecha con explotación activa no.

Por qué la corrección automática no es un cheque en blanco

Microsoft destaca que ambas vulnerabilidades se distribuyen a través de las actualizaciones de definiciones de Defender. Para la mayoría de los sistemas, no es necesaria una intervención manual. Esta es la buena noticia. Y es cierta. Pero también es el punto en el que comienza la negligencia.

Las actualizaciones automáticas solo funcionan si el mecanismo está operativo. En la práctica, existen suficientes sistemas en los que no es así: redes de producción aisladas sin acceso a Internet, máquinas con versiones congeladas, dispositivos cuyo servicio de actualización se ha limitado por motivos de rendimiento. Precisamente estos sistemas suelen ser los críticos. Quien confía en la actualización silenciosa sin verificarla, confunde probabilidad con certeza.

Los estados de versión relevantes están documentados. La corrección para la escalada de privilegios lleva la versión de plataforma 1.1.26040.8, y la del denegación de servicio, la versión de motor 4.18.26040.7. Una rápida comparación con el inventario muestra si la flota está realmente protegida o si algunos sistemas se han quedado atrás.

El punto ciego se llama confianza

La verdadera lección no reside en los dos números CVE. Está en el supuesto que muchas organizaciones dan por sentado: que el propio producto de protección es seguro. El endpoint protection se ejecuta con altos privilegios, en lo más profundo del sistema, con acceso a casi todo. Precisamente eso lo convierte en un objetivo atractivo. Una vulnerabilidad en el guardián pesa más que una vulnerabilidad en cualquier otra aplicación.

Esto no es un argumento en contra de Defender ni del endpoint protection en general. Es un argumento a favor de un inventario sobrio. El software de seguridad debe seguir el mismo ritmo de parcheo y monitorización que cualquier otro componente crítico. No merece una confianza ciega solo porque su propósito sea generar confianza. Quien lo excluye de la gestión de vulnerabilidades, crea un ángulo muerto en el punto más sensible.

El plazo de la CISA hasta el 3 de junio se aplica formalmente solo a las agencias federales estadounidenses. Pero como señal, sirve en todas partes. Si una autoridad con obligación de respuesta prioriza una vulnerabilidad, es un baremo útil para cualquier empresa en la región DACH. La pregunta no es si la propia organización debe cumplir el plazo. La pregunta es si podría hacerlo.

Qué deben revisar ahora los SOC de forma concreta

El primer paso es una comparación con el inventario, no un reflejo de parcheo. Un SOC debe saber qué versiones de plataforma y motor de Defender están desplegadas actualmente. Solo esta visión general muestra si la actualización automática ha funcionado en toda la flota o si algunos segmentos se han quedado atrás. Quien carece de esta visibilidad, parchea a ciegas y solo detecta una vulnerabilidad cuando ya ha sido explotada.

El segundo paso afecta a la telemetría. Una escalada de privilegios local deja rastros: accesos inusuales a componentes de Defender, enlaces manipulados, procesos que se ejecutan con privilegios inesperadamente altos. Estas señales deben incluirse en las reglas de detección, no solo después del incidente, sino ahora. Un EDR que no supervisa su propia integridad está ciego en el punto más sensible.

El tercer paso es organizativo. El software de seguridad necesita un responsable designado para su estado de parcheo, al igual que un servidor de bases de datos o un gateway web. Mientras nadie asuma explícitamente la responsabilidad de que Defender esté actualizado, esta tarea desaparecerá en la suposición de que el sistema ya la gestiona por sí solo. Esta suposición es cómoda. También es la razón por la que estas vulnerabilidades sobreviven durante semanas.

Preguntas frecuentes

Cada pregunta está bloqueada. Un toque desbloquea la respuesta.