Un investigador de seguridad conocido bajo el alias Nightmare Eclipse ha publicado ShieldCrash, un nuevo exploit zero-day contra Microsoft Defender que llega apenas horas después del Patch Tuesday de septiembre de 2026. El fallo permite obtener privilegios SYSTEM en equipos con Windows 10, Windows 11 y Windows Server completamente actualizados, esquivando la corrección que Microsoft aplicó el jueves anterior a otro fallo similar.
El exploit se presenta como una prueba de concepto y funciona, según explica su autor, como un bypass directo de ShieldBreak, identificado como CVE-2026-69414, la vulnerabilidad de escalada de privilegios que Redmond parcheó ese mismo jueves. Nightmare Eclipse lo resume así en su publicación: «Microsoft ha fallado en parchear correctamente ShieldBreak CVE-2026-69414, bajo condiciones específicas todavía es posible desencadenar exactamente el mismo problema que causaba ShieldBreak. Aunque Microsoft corrigió varias cosas para evitar la reexplotación del fallo, se les pasó un punto por el que ShieldBreak todavía puede explotarse».
Cómo ShieldCrash reabre el agujero que dejó ShieldBreak
Si nos fijamos en la prueba de concepto que ha compartido el propio investigador, comprobamos que demuestra una lectura arbitraria de archivos con privilegios SYSTEM y que afecta a todas las versiones de Windows soportadas que ya tienen instaladas las actualizaciones de septiembre de 2026. Nightmare Eclipse reconoce que el PoC publicado es, en sus propias palabras, un «esqueleto» y que podría convertirlo más adelante en un exploit SYSTEM completo, aunque de momento ha preferido no hacerlo por pereza, según admite él mismo.
El propio nombre de ShieldCrash delata su parentesco: es un bypass de ShieldBreak, que a su vez era un bypass de RoguePlanet, otro fallo de Defender que se hizo público en junio y que Microsoft corrigió en julio. Esa cadena de bypasses sucesivos sobre el mismo componente sugeriría que la vía de escalada de privilegios que explota esta familia de errores no ha quedado resuelta con los parches aplicados hasta ahora.
Una lista de zero-days que no para de crecer en el antivirus
ShieldCrash es solo el último episodio de una serie de fallos que este investigador viene destapando desde abril. Antes de este, reveló ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma y UnDefend, todos ellos dirigidos contra Microsoft Defender, BitLocker y otros componentes de Windows. Son nueve vulnerabilidades distintas en apenas medio año, una cadencia que da idea del ritmo con el que Nightmare Eclipse ha estado presionando a Microsoft.
De toda esa lista, Microsoft ha logrado cerrar ShieldBreak, RoguePlanet, YellowKey, GreenPlasma y MiniPlasma. El resto, LegacyHive, BlueHammer, RedSun y UnDefend, sigue sin parche oficial, lo que deja a los equipos de seguridad dependiendo de mitigaciones propias mientras esperan una respuesta de la compañía. Si administráis sistemas Windows en producción, conviene que tengáis presente cuáles de estos fallos afectan a vuestro entorno y cuáles siguen abiertos sin que Microsoft haya publicado todavía una solución para su antivirus.
Una disputa con amenazas legales de por medio
La publicación de ShieldCrash llega en pleno enfrentamiento entre el investigador y Microsoft por las políticas de recompensas y divulgación de vulnerabilidades de la empresa. Microsoft ha respondido advirtiendo de acciones legales contra quien realice «actividad maliciosa que cause daño real» a sus clientes, un mensaje que buena parte de la comunidad de seguridad interpreta como una amenaza dirigida directamente contra Nightmare Eclipse, en una disputa que dura meses.
Microsoft no respondió de inmediato cuando le preguntaron por ShieldCrash el mismo día de su publicación. Por el momento no ha trascendido si la compañía prepara una corrección específica para este bypass, algo que sí llegó, con distinta rapidez, para ShieldBreak, RoguePlanet, YellowKey, GreenPlasma y MiniPlasma. Mientras tanto, si gestionáis parques de equipos Windows solo podéis apoyaros en las mitigaciones generales de seguridad, ya que no existe todavía una solución oficial contra ShieldCrash.
Por qué el acceso SYSTEM importa tanto en Windows
El informe Blue Report 2026, elaborado a partir de 338 millones de simulaciones ejecutadas en entornos de producción reales, aporta un dato que ayuda a entender el riesgo de este tipo de fallos: una vez que un atacante dispone de credenciales válidas, solo el 37% de sus acciones logra ser bloqueado. Es decir, que la mayor parte de lo que un intruso intenta hacer dentro de la red, una vez ha entrado, pasa desapercibida para las defensas.
ShieldCrash no otorga permisos de escritura, según reconoce su propio autor, pero sí acceso de lectura a nivel SYSTEM en sistemas ya parcheados. Si lo combinamos con credenciales robadas, ese tipo de acceso podría bastar para leer información sensible que las defensas convencionales no siempre consiguen detectar una vez que el atacante ya está dentro de la red. Es la razón por la que este tipo de bypasses, aunque limitados a la lectura, preocupan tanto a los equipos de seguridad.