🚨 CVE-2026-50656 — Microsoft Defender "RoguePlanet"

Vulnerabilidad de Elevación de Privilegios en el Motor de Protección contra Malware de Microsoft

⚠️ Solo para Investigación de Seguridad Educativa y Defensiva

📖 Resumen

CVE-2026-50656 es una vulnerabilidad de Elevación de Privilegios (EoP) de alta severidad que afecta al Motor de Protección contra Malware de Microsoft utilizado por Microsoft Defender.

La vulnerabilidad, conocida públicamente como RoguePlanet, se origina de un problema de resolución de enlaces incorrecta (CWE-59) que podría permitir a un atacante local con pocos privilegios elevar privilegios en sistemas Windows afectados.

🎯 Impacto

La explotación exitosa puede permitir a un atacante:

• Escalar privilegios desde una cuenta de usuario estándar
• Obtener permisos elevados del sistema
• Acceder a archivos restringidos
• Modificar recursos protegidos del sistema
• Potencialmente lograr un compromiso total del sistema

🏹 Vector de Ataque

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

🔬 Detalles Técnicos

Clase de Vulnerabilidad

La vulnerabilidad se clasifica como:

CWE-59
Improper Link Resolution Before File Access
(Link Following)

Esta clase de vulnerabilidad ocurre cuando procesos privilegiados interactúan con objetos del sistema de archivos que pueden ser redirigidos usando:

• Enlaces Simbólicos
• Enlaces Duros
• Puntos de Unión
• Puntos de Reparse

Una validación incorrecta puede resultar en que operaciones privilegiadas sean redirigidas hacia ubicaciones controladas por el atacante.

⚙️ Componente Afectado

Microsoft Malware Protection Engine
mpengine.dll

Utilizado por:

• Microsoft Defender Antivirus
• Microsoft Defender for Endpoint
• Microsoft Security Essentials
• Otros productos de seguridad de Microsoft

🧠 Flujo de Ataque

Low Privileged User
        │
        ▼
Create Link/Junction/Reparse Point
        │
        ▼
Trigger Defender Engine Operation
        │
        ▼
Privileged File Access
        │
        ▼
Privilege Escalation
        │
        ▼
SYSTEM-Level Impact

🔍 Oportunidades de Detección

Registros de Eventos de Windows

Monitoree:

Eventos inesperados de escalada de privilegios

Anomalías del motor de Defender

Creación sospechosa de puntos de reparse

Abuso de enlaces simbólicos

Microsoft Defender XDR

Posibles indicadores de búsqueda:

DeviceFileEvents
| where ActionType contains "FileCreated"
| where FileName endswith ".lnk"

Monitoreo de Puntos de Reparse

PowerShell:

Get-ChildItem -Path C:\ -Recurse -Force |
Where-Object {
    $_.Attributes -match "ReparsePoint"
}

🛡️ Mitigación

Hasta que se implementen actualizaciones de seguridad oficiales:

Restringir Acceso Local

Reducir el número de usuarios con capacidad de inicio de sesión local.

Endurecer Puntos Finales

• Habilitar Protección contra Alteraciones
• Habilitar EDR
• Habilitar Reglas de Reducción de Superficie de Ataque

Monitorear Actividad del Sistema de Archivos

Vigile:

• Creación de puntos de unión
• Creación de enlaces simbólicos
• Modificaciones de puntos de reparse

Aplicar Parches del Proveedor

Instale las actualizaciones de seguridad de Microsoft inmediatamente cuando se publiquen.

🧪 Lista de Verificación

🔥 Modelado de Amenazas

Mapeo ATT&CK

📊 Evaluación de Riesgos

🚨 Indicadores de Actividad Sospechosa

Actividad Inusual de Defender

mpengine.dll
MsMpEng.exe

Acceso inesperado a:

C:\Windows\System32\

Abuso de Puntos de Unión/Reparse

dir /AL /S

Enlaces Simbólicos

dir /A:L

📚 Referencias

• Microsoft Security Response Center (MSRC)
• Programa CVE
• MITRE ATT&CK
• Documentación de Microsoft Defender

⚠️ Aviso Legal

Este repositorio se proporciona para:

• Concienciación en seguridad
• Gestión de vulnerabilidades
• Investigación de equipo azul
• Operaciones de seguridad defensiva

No está destinado a acceso no autorizado, explotación o actividades ofensivas.