Microsoft corrige RoguePlanet, un zero-day en Defender que permitía obtener permisos SYSTEM

Microsoft ha solucionado una vulnerabilidad crítica en su herramienta de seguridad estrella, Microsoft Defender, que permitía a un atacante tomar el control total de un equipo con Windows. El fallo, identificado como CVE-2026-50656 y bautizado como RoguePlanet, afectaba al motor antimalware de Defender, una pieza clave que analiza archivos y procesos en busca de amenazas. Lo preocupante es que este error no dependía de las actualizaciones mensuales de Windows, sino de componentes internos de Defender, lo que significa que incluso equipos aparentemente al día podían estar expuestos.

La vulnerabilidad se basaba en una condición de carrera, un fallo técnico que ocurre cuando dos procesos intentan acceder a los mismos recursos al mismo tiempo, generando un comportamiento impredecible. En este caso, un usuario con permisos limitados podía aprovechar este error para escalar privilegios hasta el nivel SYSTEM, el más alto en Windows. Con ese acceso, un atacante podría desactivar protecciones, instalar malware, robar datos o moverse lateralmente en una red corporativa sin levantar sospechas. Lo más inquietante es que, según los primeros análisis, el fallo podía explotarse incluso si Defender estaba desactivado o en modo pasivo, aunque esto último aún no se ha confirmado del todo.

¿Por qué es un problema serio para las pymes?

Microsoft Defender es la solución de seguridad predeterminada en Windows y, por tanto, una de las más utilizadas en empresas de todos los tamaños. Muchas pymes confían en ella como única capa de protección, asumiendo que las actualizaciones automáticas de Windows son suficientes. Sin embargo, este caso demuestra que el motor antimalware y sus firmas (las bases de datos que identifican amenazas) tienen su propio ciclo de actualizaciones, independiente del sistema operativo. Si no se gestionan correctamente, pueden quedar desactualizados y convertirse en un punto débil.

La gravedad del fallo se refleja en su puntuación CVSS de 7.8 (sobre 10), lo que lo sitúa en el rango de "alta severidad". Aunque Microsoft no ha confirmado ataques reales que hayan explotado esta vulnerabilidad, sí se ha publicado una prueba de concepto que demuestra cómo funcionaría el ataque, lo que aumenta el riesgo de que ciberdelincuentes la utilicen. Por ahora, no se han revelado detalles técnicos completos, pero las recomendaciones son claras: actualizar inmediatamente el motor y las definiciones de Defender en todos los equipos, incluidos servidores y entornos virtuales.

Qué significa para tu negocio

Si tu pyme utiliza Windows y Microsoft Defender como herramienta de seguridad, este fallo es un recordatorio de que la ciberseguridad no es un producto, sino un proceso. No basta con instalar un antivirus y olvidarse: hay que asegurarse de que todas sus capas —motor, firmas y configuraciones— están al día. Revisa hoy mismo que tus equipos tienen la última versión del motor de Defender (puedes comprobarlo desde el Centro de seguridad de Windows o con herramientas de gestión centralizada como Intune). Además, activa alertas para procesos sospechosos, especialmente aquellos que intenten ejecutarse con permisos SYSTEM, ya que podrían ser señal de un ataque en curso. Si no tienes un responsable de TI interno, considera contratar un servicio externo que supervise estas actualizaciones y configure defensas adicionales, como la segmentación de redes o el control de aplicaciones. Un fallo como este no es cuestión de suerte, sino de preparación.