Microsoft

Microsoft DefenderがDigiCertルート証明書をマルウェア誤検知、世界中のWindowsで警告

Microsoft Defenderが5月3日頃から、Windows 11とServerに標準搭載されているDigiCertルート証明書を「Trojan:Win32/Cerdigent.A!dha」として検出している。対象は信頼の根を担う正規ルートCAだ。

岬 徹

岬 徹

Microsoft DefenderがDigiCertルート証明書をマルウェア誤検知、世界中のWindowsで警告

Microsoft Defenderが5月3日頃から、Windows 11とServerに標準搭載されているDigiCertルート証明書を「Trojan:Win32/Cerdigent.A!dha」として検出している。対象は信頼の根を担う正規ルートCAだ。

突然「高深刻度」警告に染まった世界中のWindows

5月3日、Windows管理者やエンドユーザーのもとに、Microsoft Defenderから「Cerdigent」という見慣れない名前の高深刻度マルウェア警告が一斉に届いている。検疫されたのは、見覚えのある実行ファイルではない。レジストリに格納されているDigiCertのルート証明書エントリそのものだった。

具体的には、HKLM\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\ 配下にある2つの拇印（サムプリント）が標的になっている。「DDFB16CD4931C973A2037D3FC83A4D7D775D05E4」（DigiCert Trusted Root G4）と「0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43」（DigiCert Assured ID Root CA）。どちらもDigiCertが公式に公開している正規のルートCAであり、HTTPS通信や証明書検証のために、Windowsを買った時点で標準で組み込まれているものだ。

問題が発覚した直後、Microsoft Q&Aフォーラムやredditには、世界中の管理者から「PCに何もインストールしていないのに高深刻度の警告が出た」「同じ警告が組織内の何百台ものマシンで同時に発生している」という報告が殺到した。Defenderは検出した証明書エントリを次々と検疫し、レジストリキーを削除しはじめている。

何もしていないのに、Defenderが世界中のWindowsで一斉に「高深刻度」を叫び始めた。問題はマルウェアではなく、Defenderの定義そのものにあった。

検出を引き起こしているのは、4月30日に追加された定義1.449.424.0だ。脅威研究者フロリアン・ロート氏（Florian Roth）のX投稿や、複数のセキュリティアナリストによる検証で、新しいシグネチャがDigiCertルート証明書のハッシュに誤マッチしていることが特定されている。

元をたどればDigiCertの証明書誤発行事件

なぜMicrosoftがDigiCertルート証明書を狙う検出を急に追加したのか。その背景には、4月に公開されたDigiCert本体のセキュリティ事案がある。

Mozilla BugzillaのIssue 2033170でDigiCert自身が公表した報告書によれば、4月2日、攻撃者がDigiCertのカスタマーサポートチャットに顧客スクリーンショットを装った.scr実行ファイルを送り込んだ。CrowdStrikeが4回のデリバリーをブロックしたが、5回目でサポートアナリストの端末（ENDPOINT1）が侵害された。さらに4月14日の追加調査で、別アナリストの端末（ENDPOINT2）も同じ経路で4月4日に侵害されていたことが判明した。CrowdStrikeのセンサー設定不備でこちらは検出を免れていた。

攻撃者はサポート担当者になりすまし、内部の顧客サポートポータル経由でコード署名証明書の初期化コードを入手した。DigiCertは4月14〜17日にかけて、4つのCAから発行された60件の証明書を失効させた。失効されたCAの内訳は次の通り。

DigiCert Trusted G4 Code Signing RSA4096 SHA256 2021 CA1 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 GoGetSSL G4 CS RSA4096 SHA256 2022 CA-1 Verokey High Assurance Secure Code EV

このうち27件は脅威アクターと明確に紐づき、11件は「Zhong Stealer」と呼ばれるマルウェアファミリーへの署名に使われていたことがコミュニティ報告で判明している。残りの33件は予防的に失効された。

ここまでなら、CAインシデントとしては既知のパターンに収まる。失効と置換で問題は片付くはずだった。

Microsoftの「過剰修正」が世界中のWindowsに着弾

問題は、Microsoftの対応がやや前のめりだった点にある。Microsoftは4月30日にCerdigent検出シグネチャを追加し、5月3日のシグネチャ更新で配信を開始した。本来であれば、攻撃者が悪用した特定の証明書（あるいは具体的なマルウェアバイナリ）だけを狙って検出するべきところだ。

ところが新しい定義は、DigiCertのルートCAそのもののハッシュにマッチしてしまった。コード署名で悪用された下位証明書ではなく、Windowsが信頼するすべてのDigiCert証明書チェーンの最上位を、Defenderが「除去すべき脅威」として扱い始めたのだ。

Defenderが削除しているのは、悪用された証明書ではない。Windowsの信頼の根そのものだ。

DigiCertの公式サイトで公開されているルート証明書ハッシュと、Defenderが削除しているレジストリキーを照合したセキュリティ研究者の検証は次のように結論づけている。検出はDigiCert Trusted Root G4とDigiCert Assured ID Root CAの完全に正規な公開拇印にヒットしている。

被害は管理者にとって深刻だ。証明書が削除されたWindowsでは、HTTPS通信、Windows Update、コード署名検証、社内システムへのTLS接続などが、ルート信頼の連鎖が切れることで連鎖的に機能不全に陥る可能性がある。Microsoft Q&Aには、この影響を受けた組織の管理者からの問い合わせがすでに多数寄せられている。

一部のユーザーはクリーンインストールに走った

混乱の現場では、警告の重さに耐えきれずWindowsをクリーンインストールした管理者の報告も上がっている。当然ながら、再インストール後に最新Defender定義を取り込んだ環境でも、同じ警告が出続けた。バグである以上、システムを刷新しても消えない。

GitHubには、すでにLeDevK氏が「Cerdigent」誤検知を切り分けるためのDefender TIクエリを公開している。RegistryKeyCreatedイベントを2026-05-03 04:00 UTC以降にフィルターし、影響を受けた2つの拇印に絞ることで、ノイズと本物を分離する用途だ。これは検出ルールではなくトリアージツールとして提示されている。

これは検出ルールではない。誤検知の量を確認するためのトリアージツールだ。

X上では複数の脅威研究者がほぼ同時に同じ結論に達している。@disintegr8te氏は「Defenderシグネチャ1.449.424.0が2つのDigiCert公開ルートCAをCerdigentとして検出しているように見える」と指摘し、ロート氏も同様の現象を確認したと投稿した。

Microsoftは静かに修正を進めている

ユーザーから報告された対処策は限定的だ。Defender設定で該当する2つの拇印を除外リストに追加するか、定義の修正版が配信されるのを待つしかない。検疫に回された証明書は、必要に応じて手動でリストアする必要がある。

Microsoft自身からの公式声明はまだ出ていないが、Reddit上のコメントではDefender XDRの管理画面で証明書が再投入されはじめているとの報告も上がっている。Microsoftが内部的に修正定義のロールアウトを開始した可能性が高い。

ただし、家庭用PCへの修正配信のタイミングは明らかにされていない。今この瞬間も、世界中のWindowsで「Cerdigent高深刻度マルウェア」のポップアップが表示され続けている。

信頼インフラに踏み込むセキュリティ製品の重さ

DigiCertの誤発行事件そのものは、CAとしての対応速度（24時間以内の失効）や情報開示の透明性で言えば、CAインシデントとしては比較的優等生な処理だった。Bugzillaで公開された根本原因分析と是正計画は、業界標準の手続きをきちんと踏んでいる。

問題はその後だ。MicrosoftがDigiCertの問題に対応するため検出シグネチャを追加し、それが信頼インフラの根に過剰反応してしまった結果、エンドユーザー側により大きな混乱が広がる構図になっている。「悪意のある証明書を検出する」という設計思想と、「ルート証明書を削除する」というアクションは、本来であれば最も慎重な検証を要する組み合わせになる。

セキュリティ製品が信頼インフラに直接手を入れるとき、そのシグネチャ品質は二重三重の検証を経るべきだ。今回のCerdigent事案は、その検証が十分でなかった可能性を示唆している。

DigiCertの事件は、CAの内部運用に潜む盲点を露わにした。一方でMicrosoftの誤検知は、それを修正しようとするセキュリティベンダー側の脆さも露わにしている。完璧な信頼インフラなど、どこにも存在しない。

参照元

他参照

関連記事

この記事を共有する
Microsoft Windows Windows 11 Windows Server セキュリティ Microsoft Defender マルウェア コード署名 Mozilla 動画作成済み
HOME

Read more