Defenderのゼロデイ2件、すでに攻撃で使われていた
セキュリティソフトが攻撃の足場になる。その現実が、また一つ記録に加わった。
守るソフトの中に穴があった
Microsoftが5月21日（日本時間）、Microsoft Defenderに存在する2件のゼロデイ脆弱性に対する修正パッチの配布を始めた。どちらも発見時点ですでに実際の攻撃で使われていた。
1件目はCVE-2026-41091。MicrosoftのマルウェアスキャンエンジンであるMalware Protection Engineのバージョン1.1.26030.3008以前に存在する特権昇格の脆弱性だ。シンボリックリンク——ファイルシステム上で別の場所を指す「近道」のようなもの——の処理に問題があり、ローカルの攻撃者が SYSTEM 権限、つまりWindowsで最も強い管理者権限を手に入れられる。CVSSスコアは 7.8（高）。
2件目はCVE-2026-45498。Microsoft Defender Antimalware Platformのバージョン4.18.26030.3011以前が対象で、こちらはサービス運用妨害（DoS）の脆弱性だ。ローカルで細工したファイルをDefenderがスキャンしようとすると、エンジンがリソースを際限なく消費して応答不能に陥る。CVSSスコアは4.0（中）と数値は低いが、セキュリティソフト自体を止められるという点で実害は軽くない。
| CVE-2026-41091 | CVE-2026-45498 | |
|---|---|---|
| 種別 | 特権昇格 | サービス運用 妨害（DoS） |
| 対象 | Malware Protection Engine |
Antimalware Platform |
| 脆弱な バージョン |
1.1.26030.3008 以前 |
4.18.26030.3011 以前 |
| 修正 バージョン |
1.1.26040.8 | 4.18.26040.7 |
| CVSS | 7.8（高） | 4.0（中） |
| 攻撃 ベクター |
ローカル （AV:L） |
ローカル （AV:L） |
| 認証要否 | 要 （低権限） |
不要 |
| 主な影響 | SYSTEM権限 を奪取 |
Defenderの スキャンが 停止 |
修正は自動更新で届く
Microsoftは両脆弱性に対し、Malware Protection Engineのバージョン 1.1.26040.8 とAntimalware Platformのバージョン4.18.26040.7でそれぞれ修正を実施した。
Microsoftによれば、「アンチマルウェアソフトウェアの既定の構成では、マルウェア定義とDefenderプラットフォームが自動的に最新の状態に保たれる」ため、ほとんどのユーザーは手動で何もしなくてよい。
ただし、更新が正しく当たっているかどうかの確認は推奨されている。Windowsセキュリティを開き、「ウイルスと脅威の防止」→「保護の更新」→「更新プログラムの確認」の順に進む。その後、設定の「バージョン情報」で「マルウェア対策クライアントのバージョン」の番号が上記のバージョン以上であれば対処済みだ。
CISAが連邦機関に6月3日までの対応を命じた
もう一つ、見過ごせない動きがある。
米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は5月20日、この2件をKEV（既知の悪用された脆弱性）カタログに追加した。KEVへの掲載は「理論上危険」ではなく「実際に攻撃で使われた」ことを意味する。
CISAはBOD 22-01に基づき、連邦民間行政機関（FCEB）に対して 2026年6月3日 までに対処するよう命じた。
「この種の脆弱性は悪意あるサイバー攻撃者の常套的な侵入口であり、連邦機関にとって重大なリスクをもたらす」
民間企業に法的義務はないが、KEVに載った脆弱性はすでに攻撃ツールキットに組み込まれている可能性が高い。対処の優先度を上げる判断材料としては十分だ。
要点：自動更新が有効であれば修正は自動で適用される。念のため「Windowsセキュリティ」→「保護の更新」で最新バージョンが当たっているか確認しておきたい。
守るためのソフトが、突破口になる逆説
二つの脆弱性の構造を並べると、ある戦術の形が見えてくる。
CVE-2026-41091でSYSTEM権限を取得し、CVE-2026-45498でDefenderを機能不全に追い込む。特権昇格→防御無力化という二段階の侵害が成立する組み合わせで、Microsoftはどちらも実際の攻撃で使われたと認めている。攻撃者はDefenderを「無効化すべき障害物」ではなく「踏み台として使える資産」と見ている。
|
Step1
CVE-2026-41091
Phase 1 — 権限昇格
SYSTEM権限を奪取
ローカル低権限ユーザーがシンボリックリンクを悪用し、Defenderのスキャンエンジン（MMPE）を騙してSYSTEM権限で任意ファイルを操作させる
Step2
CVE-2026-45498
Phase 2 — 防御無力化
Defenderのスキャンを停止
細工したファイルをスキャンさせることでAntimalware Platformを無限リソース消費状態に追い込み、脅威検知機能を停止させる
最終状態
SYSTEM権限を持った攻撃者が、検知されない環境で活動できる状態が完成する
|
ウイルス対策ソフトは、マルウェアを見つけるために多くのファイルへ深くアクセスする。その「深いアクセス」が攻撃者にとって魅力的な標的になる。今回の件はDefender特有の問題ではなく、セキュリティ製品全般が抱える構造的な矛盾だ。
自動更新が機能していれば今回は対処済みのはずだが、その「はず」を一度確認する価値はある。
参照元
- CVE-2026-41091 - Microsoft Security Response Center
- CVE-2026-45498 - Microsoft Security Response Center
- CISA - Adds Seven Known Exploited Vulnerabilities to Catalog (2026-05-20)
関連記事
- Microsoftが折れた、ゼロデイ騒動の裏側
- Microsoft Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下
- Windowsゼロデイ6件を巡りMSRC対応に批判 開示プロセスを検証
- BitLockerバイパス脆弱性をめぐりMicrosoftと研究者が対立
- BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開
- Windowsの6年前の修正が消えていた、新ゼロデイ「MiniPlasma」公開
- BitLockerをUSBで解錠、YellowKey公開
- Defenderが悪性ファイルを元の場所に書き戻す奇妙な挙動
- Windowsゼロデイ「BlueHammer」公開 研究者とMSRCの調整経緯を整理
- 「人生を壊すと言われた」研究者の声と業界の怒り
