Un investigador publica una vulnerabilidad zero-day de Windows tras un conflicto con Microsoft

Un investigador de ciberseguridad ha publicado una nueva vulnerabilidad grave de día cero en Windows y ha afirmado que decidió hacerlo tras años de conflicto con Microsoft. Según el especialista, su relación con la empresa se convirtió en una sucesión de trámites humillantes que describe como «juegos de niños» por parte de la corporación.

Es el segundo caso reciente en que el mismo investigador revela una brecha crítica en la seguridad de Windows sin esperar a que se corrija. La vulnerabilidad permite a un atacante elevar sus privilegios en el sistema, lo que la hace atractiva para los ciberdelincuentes, sobre todo en equipos corporativos.

El investigador sostiene que durante varios años intentó comunicar los problemas que había encontrado a través de los canales oficiales, pero, según afirma, Microsoft no solo dilataba el proceso, sino que «lo pisoteaba», poniendo obstáculos, cuestionando la redacción y retrasando la evaluación. Dice que la corporación supuestamente amenazó con arruinar su reputación si se mostraba «demasiado insistente». «Dijeron que me arruinarían la vida, y lo hicieron», declaró el especialista.

La empresa, como suele ocurrir, no ofrece comentarios detallados hasta que se publiquen las actualizaciones y tampoco confirma la veracidad de los detalles técnicos divulgados. Aun así, Microsoft suele pedir a los investigadores que sigan el procedimiento de divulgación responsable de vulnerabilidades para no poner en riesgo a los usuarios.

Publicar una vulnerabilidad zero-day antes de que haya un parche pone en peligro millones de ordenadores que utilizan versiones compatibles de Windows. Los expertos en seguridad creen que las acciones del investigador pueden deberse al agotamiento emocional y al conflicto con la burocracia corporativa, aunque reconocen que el problema podría haberse resuelto antes.

A juicio de los especialistas, el incidente plantea una vieja cuestión: hasta qué punto funcionan los programas de recompensas por vulnerabilidades y con qué eficacia colaboran las corporaciones con los investigadores independientes. Muchos señalan que las grandes empresas suelen exigir a los especialistas que cumplan normas de notificación complejas, mientras ellas mismas a menudo tardan en reaccionar.

Mientras Microsoft prepara un parche, los expertos aconsejan a los administradores que restrinjan el acceso local a los equipos y refuercen la vigilancia de actividades sospechosas. Sin embargo, solo se podrá contar con una protección completa cuando se publique la actualización oficial.

El escándalo sigue creciendo: la publicación de los detalles técnicos hace que la vulnerabilidad pueda explotarse ya, mientras que las acusaciones del investigador contra la corporación desatan una nueva oleada de críticas a Microsoft, donde desde hace tiempo también se debaten los problemas de calidad de las actualizaciones y de seguridad de Windows.