Recientemente, Microsoft ha confirmado que una actualización reciente de su solución de seguridad para Linux ha llegado a desactivar la protección activa en algunos equipos tras reiniciarse. Y no solo eso, ya que un segundo fallo bloqueaba la instalación en sistemas configurados en modo FIPS.
Con todo y con ello debemos saber que la compañía ya ha publicado las versiones que corrigen ambos problemas, aunque no ha explicado qué originó el primero de ellos. El problema más grave afectó a las compilaciones 101.26042.0000 a 101.26042.0009, disponibles para todos los sistemas operativos Linux compatibles. Tras actualizar o reinstalar el software y reiniciar el equipo, el servicio de Microsoft Defender podía quedar deshabilitado, según reconoce la propia empresa en su aviso de soporte.
La compañía no ha detallado la causa técnica exacta, pero sí advierte de que la protección activa quedaba comprometida en los dispositivos reiniciados hasta que se aplicaban las medidas de corrección.
El riesgo se multiplica porque buena parte de estas actualizaciones llega sin que nadie las pida expresamente. Si utilizamos esta solución de seguridad junto con Defender for Cloud y tenemos activada la integración MDE, las actualizaciones automáticas están habilitadas por defecto. Es decir, nuestros equipos podían haber recibido la versión defectuosa sin que mediara ninguna acción manual por nuestra parte.
Defender for Servers es la capa de protección de Microsoft Defender for Cloud pensada para máquinas virtuales y servidores. Es habitual que tanto usuarios finales como empresas que ya trabajan con este servicio, dejen la actualización de agentes en modo automático. La incidencia resulta especialmente delicada porque un agente de seguridad que deja de funcionar tras un reinicio rutinario, abre una ventana de exposición que puede pasar inadvertida en equipos que alojan cargas de trabajo críticas.
Microsoft no ha detallado si el proceso genera algún tipo de aviso al usuario o al administrador cuando el servicio queda deshabilitado. Tampoco ha precisado cuántos equipos llegaron a verse afectados ni durante cuánto tiempo permanecieron sin protección, así que esos datos quedan pendientes de confirmación oficial.
Defender se apaga después de reiniciar Linux
Por otro lado, el segundo fallo, independiente del anterior, afecta a Red Hat Enterprise Linux 8 y 9 cuando funcionan en modo FIPS. Las siglas corresponden a los Estándares Federales de Procesamiento de Información, un conjunto de requisitos criptográficos que exigen organismos públicos y sectores sometidos a regulación estricta, como el financiero o el sanitario. Todo ello para validar los algoritmos de cifrado que utilizan sus sistemas.
En estos entornos, la actualización 101.26042.x simplemente no llegaba a instalarse, y los equipos se quedaban en la versión previa. A diferencia del primer caso, aquí no se pierde la protección activa, pero sí se rompe la cadena de actualizaciones de seguridad. Los administradores de estos sistemas se encontraban con la obligación de mantener versiones más antiguas del agente mientras Microsoft preparaba una solución para su software de seguridad.
| Objetivo | Comando | Resultado esperado |
|---|---|---|
| ¿Está el servicio activo? | systemctl status mdatp | active (running) |
| ¿Está sano el agente? | mdatp health --field healthy | true |
| ¿Protección en tiempo real activada? | mdatp health --field real_time_protection_enabled | true |
| ¿Versión exacta instalada? | mdatp health --field product_version | (debe ser >= 101.26042.0011 o 101.26052.0011) |
| Forzar actualización de firmas | mdatp definitions update | Actualización completada |
Permanecer en una versión anterior durante ese periodo habría supuesto no recibir las mejoras de detección incorporadas en las versiones más recientes, un matiz relevante en sistemas que, por su naturaleza FIPS, suelen operar bajo auditorías de cumplimiento periódicas y protocolos de seguridad más estrictos que el resto del parque Linux. Lo mejor que podemos hacer para solventar ambos errores es actualizar la solución de seguridad, Defender, a su más reciente versión.