Microsoft cerró su Patchday de junio con la corrección de decenas de vulnerabilidades calificadas como "críticas" en productos como Azure, Microsoft 365, Exchange Online, Office y Windows, entre ellas una falla en el kernel de Windows 11 que permite la ejecución remota de código sin autenticación. Sin embargo, el ciclo de actualizaciones llegó con un final abierto: apenas horas después de publicados los parches, un investigador anónimo conocido como Nightmare Eclipse divulgó una nueva vulnerabilidad zero-day en Microsoft Defender, bautizada RoguePlanet, que afecta a sistemas Windows 10 y 11 completamente actualizados y permite a los atacantes obtener privilegios de sistema.
El investigador, que ya había hecho públicos los zero-days YellowKey (CVE-2026-45585) y GreenPlasma (CVE-2026-50507) —cerrados en este patchday y clasificados como de severidad media, pero capaces de eludir el cifrado de disco BitLocker—, decidió publicar RoguePlanet en su blog antes de lo previsto. Microsoft reaccionó con rapidez y desplegó el 10 de junio la actualización de definiciones 1.453.20.0 para Defender, que añade una detección específica y mueve el exploit a cuarentena. No obstante, según experimentos de la redacción de heise online, la protección implementada es "rudimentaria": una modificación trivial en el código del exploit de prueba de concepto basta para evadir la detección y obtener nuevamente una shell con privilegios de sistema.
El patchday de junio también incluyó la corrección definitiva de la vulnerabilidad RedSun (CVE-2026-41091, severidad alta) en el motor de protección antimalware de Defender, que ya había sido atacada en la práctica. Microsoft había intentado parchearla con anterioridad, pero el arreglo resultó insuficiente, lo que obligó a una actualización adicional a fines de mayo. En condiciones estándar, Defender se actualiza de forma automática, por lo que la mayoría de los usuarios ya debería contar con la corrección, que aparece listada como parte del ciclo de junio.
Adicionalmente, tres vulnerabilidades en Windows permanecen públicamente conocidas y con riesgo inminente de explotación: CVE-2026-49160 (alta) en HTTP.sys, CVE-2026-50507 (media) en BitLocker y CVE-2026-45586 (alta) en el Collaborative Translation Framework. Tres fallas calificadas como "críticas" amenazan el kernel de Windows (CVE-2026-45657), el componente HTTP.sys (CVE-2026-47291) y el servicio DHCP Client (CVE-2026-44815), todas explotables remotamente para comprometer sistemas por completo. En la mayoría de estos casos, los atacantes pueden ejecutar código malicioso sin necesidad de credenciales.
El patrón que dibuja el patchday de junio resulta preocupante. Por un lado, Microsoft debe hacer frente a un volumen inusual de vulnerabilidades zero-day en su software de protección, justo en la herramienta que debería servir como último bastión defensivo. Por otro, la estrategia de divulgación del investigador Nightmare Eclipse —que según heise ya había amenazado a Microsoft con acciones legales por la acumulación de fallos sin corregir— apunta a una escalada en la tensión entre la comunidad de seguridad y la compañía. El propio investigador ha adelantado que dispone de más zero-days en reserva, cuya publicación estaba prevista para el 14 de julio pero se ha pospuesto sin fecha concreta debido al trabajo adicional que le ha supuesto la divulgación de RoguePlanet.
La situación ilustra una asimetría estructural en la ciberseguridad: aunque Microsoft responde con agilidad desplegando firmas de detección, estas pueden neutralizarse con cambios mínimos en el código del ataque, lo que deja a las organizaciones y usuarios en una posición de dependencia permanente frente a actualizaciones que en ocasiones llegan después de que la vulnerabilidad ya es de dominio público. Hasta el momento, no existen indicios de que RoguePlanet esté siendo explotado activamente en la naturaleza, pero la publicación del exploit y la facilidad para evadir las defensas aumentan la probabilidad de que actores maliciosos la incorporen a sus repertorios en el corto plazo.
Para los administradores, la recomendación inmediata pasa por verificar que las actualizaciones acumulativas de junio estén aplicadas en todos los endpoints con Windows 10 y 11, confirmar que las definiciones de Defender correspondan a la versión 1.453.20.0 o posterior, y mantener bajo monitorización los indicadores de compromiso relacionados con las tres vulnerabilidades ya divulgadas. En el horizonte, el calendario de divulgaciones del investigador promete mantener la presión sobre Microsoft y mantener el ciclo de parches en un estado de tensión permanente.