Microsoft se enfrenta a la reacción de la comunidad de seguridad por Nightmare Eclipse

La amenaza pública de Microsoft de presentar cargos penales contra el investigador que está detrás de seis revelaciones de días cero de Windows ha convertido una disputa sobre vulnerabilidades en una reacción a gran escala de la comunidad de seguridad.

El investigador, conocido como Nightmare Eclipse, publicó código de prueba de concepto de seis vulnerabilidades de Windows entre principios de abril y mediados de mayo de 2026 sin coordinarse con Microsoft. Tres fallos, BlueHammer, RedSun y UnDefend, han sido explotados en ataques en directo. YellowKey, GreenPlasma y MiniPlasma siguen sin parches.

Microsoft contraataca

Microsoft publicó una entrada formal en su blog el 28 de mayo describiendo las revelaciones como "nunca justificables" y advirtiendo que su Unidad de Delitos Digitales perseguiría a cualquiera que permitiera actividades delictivas a través de código de exploits. La empresa acusó a al investigador de saltarse las normas coordinadas de divulgación de vulnerabilidades.

Pesadilla Eclipse rebate esta afirmación. El investigador afirma que Microsoft eliminó la cuenta del Centro de Respuesta de Seguridad utilizada para presentar los informes de fallos originales y rechazó cualquier contacto posterior. "Literalmente borraron la cuenta de Microsoft que utilicé para informarles de los fallos y obtuve cero centavos por hacerlo", escribió el investigador.

El contragolpe de la comunidad

La industria de la seguridad no está del lado de Microsoft. Katie Moussouris, pionera de los programas de recompensas por fallos en Microsoft y acuñadora del marco de divulgación coordinada que invoca ahora la empresa, criticó públicamente la entrada del blog en Bluesky. Invocar la "divulgación responsable" fue el primer problema, escribió. Añadir una amenaza de procesamiento por parte de la Unidad de Delitos Digitales lo empeoraba y alejaría a los investigadores de confiar en Microsoft.

Kevin Beaumont, antiguo ingeniero de seguridad de Microsoft, calificó la situación de "basurero provocado por ellos mismos", señalando que Microsoft había contratado anteriormente a SandboxEscaper después de que ésta publicara código de exploits de día cero sin previo aviso, comportamiento que Redmond califica ahora de delictivo.

Lo que sigue sin parchear y lo que viene a continuación

Pesadilla Eclipse fue expulsada de GitHub alrededor del 23 de mayo y de GitLab el 26 y 27 de mayo, y ahora publica desde un blog personal. Una publicación de exploits del 14 de julio dirigida al martes de parches de julio sigue siendo una amenaza, con advertencias de escalada a vulnerabilidades de ejecución remota de código.

Los administradores deben tratar a YellowKeygreenPlasma y MiniPlasma como riesgos activos. Para YellowKey, la mitigación de Microsoft requiere editar manualmente el hive del registro WinRE sin conexión y eliminar autofstx.exe del valor BootExecute.

Una configuración de prearranque TPM+PIN corta por completo la ruta de extracción física. Motor Defender versión 1.1.26040.8 o posterior se encarga de RedSun y UnDefend, y esa actualización no debe esperar a una ventana de mantenimiento programada.