CISA da a los administradores de Windows hasta el 3 de junio para parchear los fallos de Nightmare Eclipse Defender

Las agencias federales tienen hasta el 3 de junio para aplicar correcciones a dos vulnerabilidades de Microsoft Defender explotadas activamente y relacionadas con la campaña de divulgación Nightmare Eclipse. A 48 horas de esa fecha límite, otros tres zero-days de Windows del mismo investigador siguen sin parche, y el 9 de junio es la próxima oportunidad que tiene Microsoft para solucionarlos.

La saga comenzó a principios de abril, cuando Nightmare Eclipse reveló BlueHammer (CVE-2026-33825), parcheado en el martes de parches del 14 de abril y cuyo plazo de CISA expiró a principios de mayo. La cuenta atrás actual está anclada por otra acción CISA el 20 de mayo, añadiendo RedSun (CVE-2026-41091) y UnDefend (CVE-2026-45498) al catálogo de Vulnerabilidades Explotadas Conocidas después de que Huntress confirmara la explotación activa en ataques del mundo real. CISA ordenó la remediación en virtud de la Directiva Operativa Vinculante 22-01 con un plazo de 14 días.

Qué hacen los fallos parcheados

RedSun apunta al motor de niveles Defender para escalar privilegios a SYSTEM. UnDefend desencadena una condición de denegación de servicio en la plataforma antimalware, cegando por completo a Defender y creando una ventana para el despliegue de ransomware o el movimiento lateral sin que se disparen las alertas.

Ambos problemas se han solucionado en Malware Protection Engine 1.1.26040.8 y Antimalware Platform 4.18.26040.7. Compruebe esos números de versión en la configuración de seguridad de Windows antes del 3 de junio.

Tres fallos sin parche

YellowKey (CVE-2026-45585) elude BitLocker en sistemas sólo TPM a través del entorno de recuperación de Windows, permitiendo el acceso físico para desbloquear unidades cifradas sin una clave de recuperación. GreenPlasma es un fallo de escalada de privilegios CTFMON sin CVE y sin parche. MiniPlasma reexplota la CVE-2020-17103 en cldflt.sys, un fallo de 2020 cuyo parche estaba incompleto o había sufrido una regresión silenciosa.

ThreatLocker y Will Dormann confirmaron que aún produce un shell SYSTEM en Windows 11 y Windows Server 2022 y 2025 totalmente parcheados. Windows 10 no se ve afectado, lo que es importante para los equipos que gestionan flotas mixtas.

Para YellowKey, ejecute reagentc /disable, monte la colmena del registro WinRE sin conexión, elimine autofstx.exe de BootExecute en ControlSet001ControlSession Manager y, a continuación, ejecute reagentc /enable para confirmar el cambio. Realice la transición de BitLocker de sólo TPM a TPM+PIN siempre que sea posible.

Pesadilla Eclipse ha señalado un lanzamiento para el 14 de julio apuntando al martes de parches de ese mes.