Estado: RoguePlanet (zero-day #7) sin parche disponible a fecha de publicación — 11 de junio de 2026. Si administras sistemas Windows, ve directamente al apartado «Qué debes hacer ahora» al final del artículo.

A principios de abril de 2026, una cuenta de GitHub creada apenas una semana antes publicó un exploit funcional contra Windows Defender. Sin foto de perfil, sin nombre real, sin historial previo. Solo un alias: Nightmare-Eclipse.

Lo que siguió durante las diez semanas posteriores se convirtió en la crisis de divulgación de vulnerabilidades más comentada del año: siete exploits publicados sin parchear, tres de ellos usados en ataques reales antes de recibir corrección, Microsoft amenazando con acción penal y dando marcha atrás cuatro días después, y una comunidad de ciberseguridad dividida entre quienes ven a este investigador anónimo como un justiciero y quienes lo consideran un actor malicioso cuyo código acabó en manos de atacantes vinculados a infraestructura rusa.

¿Quién es Nightmare-Eclipse?

Nightmare-Eclipse es un investigador de seguridad anónimo, no un desarrollador de software ni un creador de contenido. Opera bajo tres aliases vinculados: Nightmare-Eclipse en GitHub, Chaotic Eclipse como nombre de blog, y Dead Eclipse en la URL de ese mismo blog (deadeclipse666.blogspot.com), donde firma sus entradas con firma PGP y hash SHA-512.

Su identidad real sigue siendo desconocida. La profundidad de su conocimiento de los internals de Windows llevó a múltiples investigadores a especular —en un hilo de Hacker News ampliamente citado— con la posibilidad de que sea un ex-empleado de Microsoft. Algunos insinuaron que podría ser la misma persona que «SandboxEscaper», la hacker que publicó zero-days de Windows entre 2018 y 2019 y que Microsoft contrató posteriormente. Tanto SandboxEscaper como Nightmare-Eclipse niegan explícitamente ser la misma persona.

Lo que sí está documentado es lo que el propio investigador escribió en su primer post:

«Nunca quise reabrir un blog y una nueva cuenta de GitHub para soltar código. Pero alguien violó nuestro acuerdo y me dejó sin hogar, sin nada. Sabían que esto pasaría y aun así me apuñalaron por la espalda.»

— Nightmare-Eclipse, blog «Chaotic Eclipse», abril 2026

El origen del conflicto: una divulgación coordinada que se rompió

El caso no involucra copyright, DMCA ni licencias de software. El corazón del asunto es un proceso roto de divulgación coordinada de vulnerabilidades (CVD): el mecanismo por el que los investigadores reportan fallos a los fabricantes antes de hacerlos públicos, dando tiempo a que se publique un parche. Es un sistema basado en la confianza mutua, y cuando esa confianza se rompe, las consecuencias pueden ser exactamente las que estamos viendo.

Según el relato del investigador, los hechos fueron los siguientes: intentó reportar vulnerabilidades de Windows a través del portal oficial del Microsoft Security Response Center (MSRC). Microsoft le exigió un vídeo demostrando el exploit como parte del proceso de verificación. Microsoft le revocó el acceso a su cuenta del portal MSRC, eliminando su capacidad de reportar de forma oficial. No recibió ninguna recompensa económica ni crédito público. Este último punto tiene respaldo documental: el CVE-2026-33825 (la primera vulnerabilidad publicada) fue acreditado oficialmente a los investigadores Zen Dodd y Yuanpei Xu, no a Nightmare-Eclipse.

Microsoft respondió a los medios con una declaración breve y evasiva: la compañía «no elimina cuentas del portal de investigadores del MSRC» y «no puede confirmar qué cuenta esta persona afirma que fue desactivada». No abordó ninguna de las alegaciones concretas.

La cronología completa: diez semanas que pusieron en jaque a Microsoft

Los siete exploits: qué hacen y por qué son peligrosos

Para entender la magnitud del caso hay que saber qué hace cada herramienta. No son pruebas de concepto teóricas: tres fueron utilizadas en ataques reales antes de recibir un parche.

La respuesta de Microsoft: amenaza, marcha atrás y silencio

El 23 de mayo, Microsoft baneó la cuenta de GitHub del investigador (GitHub es propiedad de Microsoft desde 2018). El 26 de mayo, GitLab hizo lo mismo. El código llevaba semanas descargado y redistribuido: los baneos no eliminaron nada.

El 27 de mayo, el MSRC publicó esta declaración:

«Las divulgaciones no coordinadas que ponen código de prueba de concepto para vulnerabilidades sin parchear en manos de actores maliciosos nunca son justificables y tienen consecuencias en el mundo real. Nuestra Digital Crimes Unit continuará llevando casos contra estos actores y quienes faciliten su actividad criminal.»

— Microsoft Security Response Center, 27 de mayo de 2026

La mención a la Digital Crimes Unit fue interpretada universalmente como una amenaza de enjuiciamiento penal. El sector respondió con críticas inmediatas y contundentes (ver sección siguiente). Cuatro días después, el 1 de junio, Microsoft publicó en X:

«No tenemos intención de emprender acciones contra individuos que conducen o publican investigación de seguridad.»

— Microsoft, 1 de junio de 2026

Sin explicación del cambio de postura. Sin reconocimiento de la contradicción. Sin respuesta a ninguna de las alegaciones específicas del investigador.

La reacción del sector: voces críticas con Microsoft

Katie Moussouris (Luta Security, pionera del primer programa de bug bounty de Microsoft) fue la voz más incisiva. Criticó que Microsoft invocara el término «divulgación responsable», que ella misma retiró del vocabulario oficial de Microsoft hace años por ser «subjetivo y enjuiciador». Señaló la contradicción central: Microsoft publicó una declaración afirmando que su programa «asegura que los investigadores sean compensados y públicamente reconocidos» en respuesta a un investigador que dice no haber recibido ninguna de las dos cosas.

Kevin Beaumont (ex-Microsoft) calificó la situación de «un dumpster fire de su propia creación» y escribió: «¿Crear y distribuir pruebas de concepto de exploits para zero-days es ‘actividad criminal’ ahora? Usarla para intentar enjuiciar penalmente a la gente es una nueva bajeza.» Recordó que Microsoft contrató a SandboxEscaper tras conductas que, según el nuevo criterio de la compañía, serían criminales.

Dustin Childs (Zero Day Initiative) apuntó al problema de fondo: «La CVD es una calle de doble sentido. Salir públicamente diciendo que esta persona violó la CVD sin mostrar la correspondencia entre las partes parece atrevido.»

Andrew Case (Volexity) lo resumió con una frase: «El MSRC decidió matar toda la buena voluntad que ha construido durante la última década.»

Will Dormann (Tharros Labs) verificó técnicamente varios exploits, incluyendo RoguePlanet: «No es 100% fiable, pero funcionó al primer intento para mí.»

Parte de la comunidad describió a Nightmare-Eclipse como un «folk hero» comparable a Mr. Robot. Barracuda Networks publicó un análisis que lo clasificó como «actor malicioso» cuyo código fue usado en intrusiones vinculadas a infraestructura rusa. Ambas descripciones son compatibles: los motivos personales no son incompatibles con el impacto real.

El impacto real: ataques documentados y la huella rusa

El caso no es solo una disputa corporativa. Hay víctimas reales.

Huntress Labs documentó la primera cadena de ataque el 10 de abril, días después de la publicación de BlueHammer. El 15 de abril a las 13:44 UTC, una sesión SSL VPN se inició desde la IP 78.29.48[.]29, geolocalizada en Rusia. Sesiones adicionales procedieron de Singapur y Suiza, patrón clásico de uso de infraestructura de relay para ofuscar el origen. Una vez dentro de la red, BlueHammer fue usado para escalar privilegios a SYSTEM.

CISA añadió tres exploits —BlueHammer, RedSun y UnDefend— a su catálogo KEV. El catálogo no es un ranking teórico: las agencias federales estadounidenses tienen obligación legal de parchear las vulnerabilidades listadas en plazos estrictos. Su inclusión implica que el gobierno estadounidense tiene evidencia directa de explotación activa.

Estado actual: ¿qué puede pasar?

Al 11 de junio de 2026, Microsoft parcheó los seis exploits originales pero RoguePlanet sigue sin parche. El investigador retiró la amenaza del «gran drop» del 14 de julio pero no cerró la puerta a futuras acciones. Lo más relevante: otros investigadores empezaron a entregarle vulnerabilidades. JonasLyk le entregó Bitskrieg. Si este patrón continúa, Nightmare-Eclipse podría convertirse en un canal alternativo de divulgación para investigadores frustrados con los programas de bug bounty corporativos.

Umbrales a vigilar: Si Microsoft no parchea RoguePlanet antes del próximo Patch Tuesday (8 de julio), la tensión podría escalar. La variante RCE insinuada por el investigador —explotable remotamente vía SMB, sin acceso local— cambiaría radicalmente el perfil de riesgo si se hace pública.

Qué debes hacer ahora

Este artículo se actualizará a medida que el caso evolucione. El caso sigue abierto: el investigador opera desde deadeclipse666.blogspot.com y su cuenta de GitHub MSNightmare.

Fuentes: Microsoft Security Response Center · CISA Known Exploited Vulnerabilities Catalog · Huntress Labs · Barracuda Networks Blog · The Register · BleepingComputer · Dark Reading · CyberScoop · Katie Moussouris / Luta Security · Kevin Beaumont · Dustin Childs / Zero Day Initiative · Andrew Case / Volexity · Will Dormann / Tharros Labs · Hacker News · ciberblog.net