Un exploit de Windows 11 puede elevar a SYSTEM y sortear la protección de antimalware
Un exploit publicado para determinadas instalaciones de Windows permite a un usuario local alcanzar privilegios SYSTEM, el nivel de permisos más alto del sistema. El investigador que lo difundió también sostiene que puede utilizarse para interferir con la protección de productos antimalware. Microsoft afirma que está investigando el caso, que no tiene indicios de explotación activa y que Defender bloquea posibles intentos.
El alcance descrito es más limitado que una vulnerabilidad que permita entrar directamente en un equipo desde internet: el atacante necesita ejecutar código localmente. Aun así, elevar los permisos puede convertir una intrusión inicial de bajo nivel en un control mucho mayor del dispositivo.
La vulnerabilidad afecta a configuraciones concretas de Windows
El exploit, atribuido al investigador que utiliza el nombre Nightmare Eclipse, se ha descrito como funcional en Windows 11 26H2, Windows 11 26H2 Experimental y Windows Server 2025 Experimental. Esto no equivale a afirmar que todas las instalaciones de esas versiones sean vulnerables. La comprobación técnica citada en el análisis apunta a una condición específica de la configuración de CLFS, el sistema de archivos de registro común de Windows.
Según el investigador de seguridad Will Dormann, el valor HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode debe ser 0 o 1 para que se cumpla la condición de vulnerabilidad descrita. Dormann indicó que pudo reproducir el exploit, aunque no en todas las versiones de Windows 11 que examinó. Entre los equipos que utiliza, solo uno reunía ese requisito.
Dormann añadió otra limitación relevante: el sistema con Windows 11 26H2 tendría que llevar más de 90 días existiendo. Según su explicación, instalar las actualizaciones en una instalación reciente de 26H2 no bastaría para reproducir el comportamiento. Microsoft distribuye algunas actualizaciones de Windows de forma gradual, por lo que la presencia de esa versión no permite deducir por sí sola cuántos equipos cumplen las condiciones.
Qué significa obtener privilegios SYSTEM
Windows asigna distintos niveles de permisos a usuarios y procesos. SYSTEM es una cuenta interna con amplias capacidades sobre el equipo, por encima de las que suele tener una cuenta de usuario estándar. Un proceso que consigue ejecutar acciones con esos permisos puede acceder a recursos protegidos y modificar componentes que normalmente quedan fuera del alcance de una aplicación sin privilegios.
La elevación de privilegios no demuestra que el atacante pueda iniciar una intrusión desde cero: el escenario descrito requiere presencia o ejecución local. Sí puede ser decisiva si un intruso ya ha conseguido ejecutar un programa con permisos limitados o si un usuario ejecuta un archivo malicioso. En ese contexto, pasar de una cuenta restringida a SYSTEM reduce una barrera de seguridad importante.
Nightmare Eclipse afirma además que el fallo permitiría crear archivos en el contexto del propio proceso antimalware. Según su explicación, esa acción podría hacer que los controladores del producto interpretasen la operación como legítima y facilitar la desactivación o manipulación de mecanismos de autoprotección. Es una afirmación del investigador sobre el alcance del exploit; no debe confundirse con una confirmación de que todos los antivirus o productos EDR —herramientas de detección y respuesta en los equipos— sean vulnerables o hayan sido desactivados en ataques reales.
Qué deben comprobar los responsables de IT
Microsoft comunicó que estaba investigando la publicación y que no tenía indicios de que la vulnerabilidad se estuviera explotando en ataques reales. También señaló que Defender bloquea posibles intentos de explotación. Esa declaración aporta contexto, pero no equivale a una confirmación de que el problema esté resuelto mediante una actualización ni aclara por sí sola la protección de otros productos antimalware.
En una organización, el primer paso práctico es identificar si hay equipos con las versiones señaladas y revisar si se cumple la condición de CLFS. El comando winver permite consultar la versión de Windows; para la comprobación del valor de registro, es preferible utilizar las herramientas de inventario y administración aprobadas por la empresa, con permisos adecuados y sin modificar el dato durante la revisión. La condición descrita sirve para priorizar el análisis, no para demostrar que un equipo haya sido atacado.
Mientras Microsoft investiga, los responsables deberían mantener las defensas activas, aplicar las actualizaciones oficiales disponibles para cada equipo y vigilar alertas relacionadas con elevaciones de privilegios o cambios en la protección antimalware. Si la revisión detecta un equipo afectado o actividad sospechosa, conviene seguir el procedimiento interno de respuesta a incidentes y conservar la información necesaria para el análisis, en lugar de asumir que la ausencia de una alerta confirma que no hubo compromiso.
La publicación del exploit hace que la condición técnica sea conocida y comprobable, pero la información disponible no establece cuántos sistemas están expuestos ni documenta ataques confirmados. La diferencia importa: el riesgo requiere atención, sobre todo en equipos que cumplan las condiciones indicadas, pero el alcance no debe generalizarse a todas las versiones de Windows.
La noticia fue publicada por Ars Technica.
