GitHub bloquea a un investigador de seguridad tras la publicación de múltiples vulnerabilidades críticas en Windows en medio de un conflicto con Microsoft

La noticia aborda un conflicto creciente entre Microsoft y un investigador de seguridad conocido como Nightmare-Eclipse (o Chaotic Eclipse), especializado en la divulgación de vulnerabilidades de día cero en Windows. Según el artículo, GitHub habría bloqueado la cuenta del investigador, mientras que Microsoft también habría eliminado su cuenta de Microsoft asociada a la notificación de fallos, aunque sin detallar públicamente los motivos exactos de estas acciones. El investigador afirma que la compañía ha actuado de forma vengativa tras años de desacuerdos relacionados con el programa de recompensas por fallos de seguridad (bug bounty), alegando que no recibió compensación económica por varios hallazgos críticos. Entre las vulnerabilidades publicadas o atribuidas a este investigador se incluyen fallos que permiten obtener acceso SYSTEM en Windows, desactivar Defender, escalar privilegios o incluso comprometer tecnologías como BitLocker. Algunas de estas fallas habrían sido ya explotadas activamente en entornos reales, lo que aumenta la preocupación sobre el impacto de su divulgación.

El investigador también ha realizado declaraciones polémicas y amenazantes, afirmando que publicará más exploits en una fecha concreta, lo que ha intensificado la controversia. Paralelamente, otros expertos del sector apuntan a posibles problemas internos en los procesos de Microsoft para gestionar reportes de seguridad, incluyendo cambios en los equipos de respuesta del MSRC. Microsoft no ha emitido comentarios detallados sobre el caso, lo que deja incertidumbre sobre si se trata de un incumplimiento de normas de divulgación responsable por parte del investigador o de una gestión deficiente por parte de la empresa. El caso ha reabierto el debate sobre la relación entre grandes tecnológicas y la comunidad de seguridad.