Microsoft enciende debate al insinuar acciones legales contra Nightmare Eclipse
Microsoft enfrenta críticas por insinuar acciones legales contra Nightmare Eclipse tras revelar bugs.
TL;DR:
Microsoft criticó a Nightmare Eclipse por publicar vulnerabilidades de Windows sin coordinación previa.
Las fallas señaladas incluyen BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma y MiniPlasma.
El caso reabrió una pregunta incómoda: qué pasa cuando la divulgación de bugs falla entre investigadores y big tech.
En resumen, Microsoft acusa al investigador "Nightmare Eclipse" de revelar vulnerabilidades de seguridad de Windows sin consentimiento previo.
Las vulnerabilidades identificadas son BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma y MiniPlasma-un total de seis vulnerabilidades.
Este incidente plantea preguntas inquietantes sobre qué sucederá si la divulgación de vulnerabilidades sale mal.
El 27 de mayo de 2026, el Centro de Respuesta de Seguridad de Microsoft emitió un comunicado en el que nombró al investigador de ataques Nightmare Eclipse por revelar una serie de vulnerabilidades, lo que provocó fuertes críticas de la comunidad de seguridad de Microsoft,
Por otro lado, los experimentados investigadores criticaron "la redacción que se recomienda informar a la Unidad de Delitos Digitales y otras agencias como amenazante".
Este incidente no es solo una disputa pública entre los gigantes de la TI y los investigadores enojados, sino una cuestión crítica para todos los usuarios de Windows-nos pone directamente a la preocupación de qué tan rápido se pueden explotar vulnerabilidades de seguridad descubiertas antes de que el parche esté terminado.
La divulgación responsable de vulnerabilidades de seguridad a menudo implica que los investigadores informen discretamente los errores a los fabricantes afectados y les den tiempo para investigar, corregir y publicar el parche,
Antes de informar al público, Microsoft afirmó no haber recibido ninguna información previa antes de la publicación de las seis vulnerabilidades de seguridad-RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma y MiniPlasma-.
Según se informa, el equipo de seguridad ha estado en una "carrera contra el tiempo" para evaluar el impacto, proteger a los clientes y desarrollar parches.
La mayoría de las críticas han surgido posteriormente. Microsoft agregó:
"La Unidad de Delitos Digitales continuará con acciones legales y, si es necesario, con las autoridades para combatir a quienes dañan a nuestros clientes y permiten este tipo de actividad criminal".
Esta redacción es bastante sutil. Aunque no se ha anunciado ninguna demanda explícita contra Nightmare Eclipse, varios expertos lo han interpretado como una clara amenaza para los investigadores,
Las vulnerabilidades reveladas involucran componentes centrales de Windows
Las vulnerabilidades reveladas en el lanzamiento de vulnerabilidades involucran componentes centrales de Windows, principalmente para componentes del sistema de Windows, especialmente las herramientas integradas de antivirus Microsoft Defender y cifrado de disco duro BitLocker, que tienen un impacto significativo en usuarios empresariales y domésticos.
Las vulnerabilidades señaladas por Microsoft y expertos son:
- BlueHammer/CVE-2026-33825: Vulnerabilidad de extensión de permisos en Defender (Gravedad: Alta, 7.8)
- RedSun/CVE-2026-41091: También es una vulnerabilidad de extensión de permisos locales en Defender y también está incluida en el directorio de explotaciones de CISA
- UnDefend/CVE-2026-45498: Vulnerabilidad de denegación de servicio en Defender NVD calificación 7.5
- YellowKey/CVE-2026-45585: Vulnerabilidad relacionada con BitLocker
- GreenPlasma, MiniPlasma: está incluida en grupos públicos relevantes de Microsoft, Pero los detalles aún no han sido finalizados.
La diferencia clave radica en la explotación real
La diferencia clave radica en la explotación real.
Según informes de medios especializados, ya hay evidencia de que BlueHammer, RedSun y UnDefend fueron utilizados para atacar.
RedSun y UnDefend también están listados por NVD como un "directorio de explotaciones CISA con una fecha de caducidad del 3 de junio de 2026".
Para los expertos en TI de México y América Latina, la conclusión es clara:
"Si se utilizan Windows, Defender y BitLocker como base de seguridad principal, no es una cuestión puramente ética"
Afectará de inmediato los tiempos de parche extra largos, el monitoreo de puntos de extremo y la respuesta a incidentes de seguridad.
La comunidad no solo cuestiona el contexto, sino también el tono de la comunicación de Microsoft
La comunidad no solo cuestiona el contexto, sino también el tono de la comunicación de Microsoft.
Los argumentos de Microsoft al respecto son razonables:
"Si se lanza un código de vulnerabilidad accionable antes de que se lance un parche incompleto, Si el atacante tiene una ventaja clara Este riesgo no es solo teórico ".
De hecho, algunas vulnerabilidades de seguridad ya están relacionadas con ciberataques.
El problema es el tono y el enfoque anterior.
Katie Muslis, fundadora de Luta Security y jefa de Bug Bounty-Pro"El uso del término 'divulgación responsable' por parte de Microsoft es fundamentalmente incorrecto", explicó Grams a TechCrunch.
Ella argumentó que usar el término contra quienes no cumplen los procesos establecidos "es como tratarlos como villanos ingenuos".
También señaló que la desconfianza generada por el término podría conducir a una especie de parálisis, en la que los investigadores podrían retroceder antes de reportarlo a Microsoft, perdiendo así la oportunidad de corregir las vulnerabilidades y defenderse de los atacantes.
Las críticas fueron aún más agudas por el ex investigador de Microsoft, Kevin Beaumont, quien preguntó en un artículo citado por TechCrunch:
"Si el simple compartir una prueba de concepto de día cero se considera inmediatamente un crimen, ¿Es solo una exageración japonesa? "
El conflicto ha alcanzado su punto culminante.
Microsoft pide ajustes preventivos para proteger a los clientes, pero detrás de escena, una parte de la comunidad pide una respuesta más rápida y directa, un sistema justo y transparente para verificar la credibilidad de los informes de errores graves y un sistema que ofrezca oportunidades ilimitadas de contacto.
¿Continuará Nightmare Eclipse sin confrontaciones y conversaciones abiertas?
¿Continuará Nightmare Eclipse sin confrontaciones y conversaciones abiertas?
Un resumen más detallado de la situación-Esto es exactamente lo que Nightmare Eclipse lleva días quejándose de serias solicitudes de la comunidad rechazadas, especialmente la eliminación de las cuentas de las personas que capturaron MSRCID a través de filmaciones repetidas, algunos dicen que lo harían sin confirmación, o que intentarían destruir toda la transacción de muchas personas que rechazaron, pero esto es bastante difícil, aunque presentaron informes de GitHub y GitLab, solo devolvieron enlaces.
Según TroubleCalls (TCR), Register y The Record, la selección administrativa de la reunión fue un error y no se incluyó en el cálculo de uso, y luego se presentó No! ¡Esto no existe!
Parece que simplemente han abandonado la idea de hacer algo bueno, las raíces también están en Marnet, llegó el 14 de julio, así que es el próximo parche!
¡Esto va a profundizar las sombras, más allá de los días oscuros, chicos! enfadado y dando una explicación clara, por favor continúe, es problemático empezar con dos rosas de cuerno, así que realmente es el lugar correcto
