Defenderのパッチ突破するゼロデイ。成功率100%

「直したはず」の穴が、まだ開いている。しかも今度は、前回より確実に。Microsoftと研究者の対立が生んだ9つ目のゼロデイが、最新のWindowsを貫いた。

パッチを当てた翌日に、パッチが無意味になる

Microsoftが8月の月例セキュリティ更新（Patch Tuesday）を配信した数時間後、セキュリティ研究者Nightmare Eclipseが新たなゼロデイエクスプロイト「ShieldBreak」を公開した。

標的はWindows Defender。Microsoftが7月に修正したばかりの権限昇格の脆弱性CVE-2026-50656、通称RoguePlanetのパッチを完全にバイパスし、SYSTEM権限を奪取する。Windows 11 25H2、Canaryチャネル、Windows Server 2025で検証され、成功率は 100% だという。

前回のRoguePlanetはレースコンディション（タイミング競合）に依存していたため、環境によって成功率にばらつきがあった。ShieldBreakはまったく異なるアプローチを取っている。

セキュリティ専門家のケビン・ボーモント（Kevin Beaumont）氏によれば、RoguePlanetは仮想ディスクとNTネイティブファイル操作を使い、検疫プロセスを騙してシステムファイルを上書きさせるレースコンディション型の脆弱性だった。一方ShieldBreakは、Defenderのクラウドスキャン時にCloud Filter API（cfapi）経由でファイル内容を差し替えるユーザーモードコールバックフックを利用する。

手法が根本的に異なるということは、7月のパッチがRoguePlanetの「症状」しか潰しておらず、Defenderの内部アーキテクチャに残る構造的な弱点を塞いでいなかった可能性を示している。

第三者が動作を確認

脆弱性アナリストのウィル・ドーマン（Will Dormann）氏は、Tharrosの主席アナリストとしてShieldBreakの動作を確認した。Defenderが有効な環境でエクスプロイトを実行すると、標準ユーザーからSYSTEM権限への昇格に成功するという。

ただし、前提条件がある。攻撃者はすでに対象マシンへのローカルアクセスを持っている必要がある。リモートから一撃で侵入できる類のものじゃない。別の経路でマシン内部に入った攻撃者が、権限を最高レベルに引き上げるための「はしご」として機能する。

企業のセキュリティチームにとって厳しいのは、Defenderを標準のエンドポイント防御として運用している環境で、パッチ適用済みの状態がそのまま脆弱な状態になっている点だ。

Windows 10も影響を受けるが、現時点のPoCはWindows 10向けには調整されていない。潜在的な攻撃対象は極めて広い。

4か月で9つのゼロデイ

ShieldBreakは突発的な事件じゃない。2026年4月以降、Nightmare Eclipseが公開したゼロデイは9つ目になる。LegacyHive、BlueHammer、RedSun、UnDefend、YellowKey、GreenPlasma、MiniPlasma、RoguePlanet、そしてShieldBreak。標的はWindows Defender、BitLocker、Windowsのユーザープロファイルサービスなど多岐にわたる。

Microsoftは一部を修正した。RoguePlanetは7月に、YellowKey・GreenPlasma・MiniPlasmaは6月のPatch Tuesdayで対処された。BlueHammer、RedSun、UnDefendも4〜5月にパッチが出たが、それ以前に実際の攻撃に使われ、CISAのKEV（既知の悪用済み脆弱性）カタログに追加されている。LegacyHiveなど未修正のまま残っている脆弱性もあり、ShieldBreakがそこに加わった。

このペースと精度は異常だ。しかも、毎月のPatch Tuesdayに合わせて公開のタイミングを選んでいる。Microsoftが修正を配信した直後に新たなゼロデイを投下し、最大限の混乱を引き起こしている。

なぜこうなったのか

Nightmare Eclipseの行動には背景がある。この人物はMicrosoftの元社員とされ、2022年9月から2025年6月まで同社に在籍していたとする調査報道がある。退社後、バグバウンティの報酬未払いやMSRC（Microsoft Security Response Center）アカウントの削除といった扱いに対する不満が爆発し、ゼロデイの連続公開に至ったとされる。

Nightmare Eclipseは自身のブログにこう記している。

「合意を破られ、何も残らなかった」

Microsoftは5月、公式ブログで協調的脆弱性開示（CVD）の原則を掲げ、事前の連絡なく脆弱性を公開する行為を批判した。さらにDigital Crimes Unit（デジタル犯罪対策部門）による法的措置をちらつかせ、セキュリティコミュニティから「研究者を脅迫している」と反発を受けた。

この対立には、どちらにも言い分がある。Microsoftにとって、パッチ前の脆弱性公開はユーザーを攻撃にさらす行為だ。実際にBlueHammerやRedSunは公開後すぐに悪用された。一方で、研究者の立場からすれば、報告しても対応されず、報酬も支払われず、最終的にアカウントまで削除された。

Luta Securityの創業者で、かつてMicrosoftのセキュリティ研究者コミュニティとの関係構築を担当していたケイティ・モスーリス（Katie Moussouris）氏は、Microsoftが「脆弱性開示の悲嘆の5段階のうち、否認と怒りに逆戻りした」と指摘している。

Defenderに頼るユーザーが考えるべきこと

現時点でMicrosoftはShieldBreakについて公式な声明を出しておらず、CVE-2026-50656のセキュリティガイドは7月のDefenderエンジン更新を最新の修正として掲載したままだ。

Defenderを主力のエンドポイント防御として使っている環境では、パッチ適用済みという事実が安全の証明にならなくなっている。アプリケーション許可リスト方式の防御がRoguePlanetの実行をブロックしたという報告があり、同様のアプローチがShieldBreakにも有効かもしれない。

ただ、より根本的な疑問がここにはある。Microsoftは4か月にわたって一人の研究者から繰り返しDefenderの穴を突かれ続けている。修正しては突破され、また修正しては突破される。このサイクルが示しているのは、個々のバグの問題じゃなく、Defenderの設計そのものに攻撃者が繰り返し入り込める構造がある可能性だ。

セキュリティソフトが攻撃者にとっての「足がかり」になる皮肉は、今に始まったことじゃない。だが、これほどの頻度と精度で繰り返される例は珍しい。

9つ目のゼロデイが公開された今日も、Microsoftのパッチチームは走り続けている。追いつけるかどうかは、まだわからない。

関連記事

• Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下
• Windowsゼロデイ「LegacyHive」制限付きPoCで公開
• Defenderのゼロデイ「RoguePlanet」にCVE割り当て。パッチはまだない
• Defenderが悪性ファイルを元の場所に書き戻す奇妙な挙動
• Microsoftが折れた、ゼロデイ騒動の裏側
• Windowsゼロデイ6件、業界が問うMSRCの崩壊
• Windowsの6年前の修正が消えていた、新ゼロデイ「MiniPlasma」公開
• 8月のPatch Tuesday、400件修正にゼロデイ3件
• Microsoft、WSUS全版で同期障害を確認 メタデータ蓄積が原因
• Microsoft、DellのIntel搭載PCへ7月更新の配信を停止