Microsoft ha revelado que una vulnerabilidad de escalada de privilegios y de denegación de servicio en Defender está siendo explotada activamente.
La primera, identificada como CVE-2026-41091 , tiene una calificación de 7.8 en el sistema de puntuación CVSS. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante obtener privilegios de SYSTEM.
«Una resolución incorrecta de enlaces antes del acceso a archivos (‘seguimiento de enlaces’) en Microsoft Defender permite que un atacante autorizado eleve sus privilegios localmente», indicó Microsoft en un aviso.
La segunda vulnerabilidad explotada es CVE-2026-45498 (puntuación CVSS: 4.0), un fallo de denegación de servicio que afecta a Defender. Ambas vulnerabilidades se han corregido en las versiones 1.1.26040.8 y 4.18.26040.7 de la plataforma antimalware Microsoft Defender, respectivamente.
El gigante tecnológico señaló que los sistemas que tienen Microsoft Defender desactivado no son susceptibles a la vulnerabilidad, y añadió que no es necesario realizar ninguna acción para instalar la actualización, ya que actualiza automáticamente las definiciones de malware y el motor de protección contra malware de Microsoft para una protección óptima.
Microsoft atribuyó el descubrimiento y la notificación de la vulnerabilidad a cinco personas diferentes, entre ellas Sibusiso, Diffract, Andrew C. Dorman (también conocido como ACD421), Damir Moldovanov y un investigador anónimo.
Para garantizar que la última versión de la plataforma de protección contra malware de Microsoft y las actualizaciones de definiciones se descarguen e instalen correctamente, se recomienda a los usuarios seguir los pasos que se indican a continuación:
- Abra el programa Seguridad de Windows .
- En el panel de navegación, seleccione Protección contra virus y amenazas .
- A continuación, haga clic en Actualizaciones de protección en la sección de actualizaciones de protección contra virus y amenazas.
- Seleccione Buscar actualizaciones .
- En el panel de navegación, seleccione Configuración y, a continuación, seleccione Acerca de .
- Examine el número de versión del cliente de software antimalware .
Actualmente no se conocen detalles sobre cómo se están explotando estas vulnerabilidades en la práctica. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) las ha añadido a su catálogo de Vulnerabilidades Explotadas Conocidas ( KEV , por sus siglas en inglés), y exige a las agencias del Poder Ejecutivo Civil Federal (FCEB, por sus siglas en inglés) que apliquen las correcciones antes del 3 de junio de 2026.
Con este último descubrimiento, se han detectado tres vulnerabilidades de Microsoft que han sido explotadas en el transcurso de una semana. La semana pasada, Microsoft reveló que una vulnerabilidad de secuencias de comandos entre sitios (XSS) que afecta a las versiones locales de Exchange Server (CVE-2026-42897, puntuación CVSS: 8.1) había sido utilizada en ataques reales.
Además, el miércoles se añadieron al catálogo KEV otros cuatro fallos de Microsoft de 2008, 2009 y 2010.
- CVE-2010-0806 – Microsoft Internet Explorer contiene una vulnerabilidad de uso de memoria liberada que podría permitir a atacantes remotos ejecutar código arbitrario.
- CVE-2010-0249 : Microsoft Internet Explorer contiene una vulnerabilidad de uso de memoria liberada que podría permitir a atacantes remotos ejecutar código arbitrario.
- CVE-2009-1537 – Microsoft DirectX contiene una vulnerabilidad de sobrescritura de byte nulo en el filtro del analizador de películas QuickTime en quartz.dll en DirectShow, que podría permitir a atacantes remotos ejecutar código arbitrario a través de un archivo multimedia QuickTime manipulado.
- CVE-2008-4250 : Microsoft Windows contiene una vulnerabilidad de desbordamiento de búfer en el Servicio de servidor de Windows que permite a atacantes remotos ejecutar código arbitrario mediante una solicitud RPC manipulada.
Otra vulnerabilidad que se menciona en la lista es CVE-2009-3459 , una vulnerabilidad de desbordamiento de búfer basada en el montón en Adobe Acrobat y Reader que podría permitir a atacantes remotos ejecutar código arbitrario a través de un archivo PDF manipulado que provoca una corrupción de memoria.
Fuenete y redacción: thehackernews.com
