Un investigador de seguridad no identificado ha publicado múltiples vulnerabilidades zero-day de Microsoft en la plataforma GitHub, propiedad de la propia compañía, acompañadas de código de prueba de concepto (PoC) funcional. La filtración, ocurrida el 29 de mayo, expone los fallos a atacantes y profesionales de la seguridad por igual, lo que ha provocado una dura reacción de Microsoft.
Según confirmó la empresa en un comunicado, el investigador ha amenazado con divulgar más vulnerabilidades sin parche. Microsoft calificó las publicaciones como «nunca justificables», argumentando que ponen en riesgo a los usuarios al facilitar ataques antes de que exista una solución oficial.
La acción del investigador se enmarca en el debate sobre las políticas de divulgación de vulnerabilidades. Al publicar el código en GitHub, el autor busca forzar a Microsoft a acelerar la publicación de parches, pero la compañía sostiene que este tipo de prácticas solo incrementan la ventana de exposición para los ciberdelincuentes.
Por el momento, Microsoft no ha detallado el número exacto de vulnerabilidades publicadas ni los productos afectados, aunque fuentes internas citadas por la prensa especializada señalan que podrían afectar a múltiples versiones del sistema operativo Windows y de la suite Office. Se recomienda a los administradores de sistemas revisar las alertas de seguridad y aplicar las mitigaciones disponibles hasta que se liberen los parches oficiales.
Este incidente reabre el debate sobre si la publicación de exploits sin parche es una herramienta legítima de presión o una irresponsabilidad que pone en peligro a millones de usuarios. Mientras tanto, la comunidad de ciberseguridad sigue de cerca la evolución del caso.
