Error 0xC0000005: el fallo que dejó fuera de servicio a Defender en ordenadores con Windows

Microsoft Defender comenzó a finalizar las comprobaciones de los equipos de forma inesperada tras una serie de actualizaciones de la base de firmas publicadas el 18 de agosto. Usuarios de Windows informan que el antivirus integrado deja de funcionar justo durante los análisis rápidos, completos y sin conexión.

Al iniciar un análisis, la aplicación "Seguridad de Windows" al cabo de un tiempo informa que el servicio de protección contra amenazas se detuvo y ofrece reiniciarlo. Si el usuario reinicia el servicio, el problema no desaparece. En los registros de Windows se registraron fallos del proceso MsMpEng.exe en la biblioteca mpengine.dll con la excepción 0xC0000005, que indica que el programa accedió de forma incorrecta a la memoria.

El problema se relaciona con los controladores de Microsoft Malware Protection Engine en las versiones 1.1.26070.7 y 1.1.26080.2, combinados con varias versiones de la base de firmas distribuidas el 18 de agosto. El fallo se observó tanto en equipos domésticos habituales como en dispositivos gestionados por empresas. Además, el análisis manual de discos individuales se completa con normalidad en algunos usuarios, por lo que la anomalía probablemente no afecte a todos los mecanismos que analizan los archivos.

La situación atrajo atención adicional por la vulnerabilidad publicada recientemente ShieldBreak en Microsoft Defender. Su autor, Nightmare Eclipse, afirma que el método encontrado permite eludir la corrección para CVE-2026-50656, conocida como RoguePlanet, y elevar los privilegios de un usuario normal al nivel SYSTEM. Microsoft había corregido RoguePlanet previamente, actualizando el controlador de Microsoft Malware Protection Engine a la versión 1.1.26060.3008.

Sin embargo, nadie ha confirmado aún la relación entre ShieldBreak y los fallos actuales de Defender. La hipótesis surgió por la coincidencia temporal: los problemas con los análisis comenzaron poco después de que se publicara el método de elusión. Microsoft investiga el informe sobre ShieldBreak, pero no ha declarado que los cambios para proteger contra la vulnerabilidad sean la causa de los fallos del antivirus.

Según informes de usuarios, el funcionamiento de Defender comenzó a recuperarse después de que en los equipos se instalaran bases de firmas más recientes: 1.457.236.0, 1.457.238.0 y versiones posteriores. Una versión concreta no fue suficiente para todos los equipos. Por ello, es más fiable comprobar no el número de la base, sino ejecutar un análisis rápido después de que el equipo reciba las últimas actualizaciones y verificar que el análisis finaliza correctamente.

Microsoft distribuye las actualizaciones del controlador y de la base de firmas de Defender de forma automática a través de Windows Update. La compañía también publica información sobre las versiones de los componentes del antivirus. Que un análisis se detenga de forma inesperada no implica por sí mismo que el equipo esté infectado; sin embargo, hasta que Defender vuelva a funcionar con normalidad, el resultado de un análisis no completado no puede considerarse una confirmación de que no hay software malicioso en el equipo.