セキュリティ

Windowsの6年前の修正が消えていた、新ゼロデイ「MiniPlasma」公開

完全に更新済みのWindows 11で、標準ユーザーが管理者を飛び越えてSYSTEM権限を奪える。6年前にMicrosoftが直したはずの穴が、今も開いたままだった。

岬 徹

岬 徹

Windowsの6年前の修正が消えていた、新ゼロデイ「MiniPlasma」公開

完全に更新済みのWindows 11で、標準ユーザーが管理者を飛び越えてSYSTEM権限を奪える。6年前にMicrosoftが直したはずの穴が、今も開いたままだった。

直したはずの穴が、6年後にまた開いていた

最新のパッチをすべて当てたWindows 11が、標準ユーザーのアカウントひとつで陥落する。そんなエクスプロイトのソースコードと実行ファイルが、GitHubで誰でも入手できる状態になっている。

名前は「MiniPlasma」。研究者のChaotic Eclipse(別名Nightmare-Eclipse)が公開した。気味が悪いのは、これがまったくの新発見ではない点だ。突いている穴は、6年前に修正されたはずのものだった。

問題の場所は、Windowsのクラウドファイル用ドライバー(cldflt.sys)にあるHsmOsBlockPlaceholderAccessという処理だ。OneDriveのようなクラウド同期で「ファイルがあるように見えて、実体はまだダウンロードされていない」状態を扱う、地味だが重要な部品にあたる。

この穴は2020年9月、Google Project Zeroのジェームズ・フォーショー(James Forshaw)がMicrosoftに報告していた。当時はCVE-2020-17103という識別番号が割り当てられ、同年12月に修正済みとされた。書類の上では、とうに閉じた話のはずだった。

「パッチが当たっていない、もしくは戻されている」

ところが、その修正が見当たらない。Chaotic Eclipseは自身の説明で、こう書いている。

Google Project Zeroが報告したのとまったく同じ問題が、今も未修正のまま残っていた。Microsoftが修正しなかったのか、どこかの時点で静かにパッチが戻されたのか、私には分からない。

この一文の重さは、ただのバグ報告では済まない。修正記録と実態の食い違いを指し示しているからだ。書類の上では直っている。だが現物には、その修正が見当たらない。研究者自身も「最初は信じられなかった」と認めている。Microsoftがこの穴を放置するはずがない、と思い込んでいたという。

フォーショーが当時報告した欠陥は、.DEFAULTユーザーハイブ(初期設定用のレジストリ領域)を狙うものだった。本来必要な権限チェックを通さずに、ここへレジストリキーを書き込める。そこから権限昇格へつながる、というのが攻撃の道筋だ。MiniPlasmaは、文書化されていないCfAbortHydrationというAPIを経由して、この古い手口を再現している。

エクスプロイトの実証も済んでいる。検証では標準ユーザーのアカウントで実行したところ、SYSTEM権限のコマンドプロンプトが立ち上がった。最新の2026年5月の月例更新(Patch Tuesday)まで適用したWindows 11 Proでの動作が確認されている。

別のセキュリティ研究者ウィル・ドーマン(Will Dormann)も、最新の公開版Windows 11で動作することを自身の環境で確かめた。ただし、最新のWindows 11 Insider Preview Canaryビルドでは動かなかったという。開発版ではすでに塞がっているとすれば、製品版のユーザーだけが取り残されている。

続く「ゼロデイ連投」の背景にあるもの

MiniPlasmaは突発的な一件ではない。この研究者が数週間にわたって続けている、Windowsゼロデイ公開の連鎖の中の最新作にあたる。

口火を切ったのは4月のBlueHammer(CVE-2026-33825)だ。Microsoft Defenderを悪用して標準ユーザーをSYSTEM権限へ引き上げる欠陥で、続いて同種のRedSun、さらにDefenderの定義更新を妨害するUnDefendが公開された。これら3件は、公開後まもなく実際の攻撃で使われているのが確認されている。RedSunにいたっては、Microsoftが識別番号も付けず、告知もなく修正したと研究者は指摘する。 今月に入ってからは、BitLockerを回避するYellowKeyと、SYSTEM権限を奪うGreenPlasmaも追加された。MiniPlasmaを含めれば、4月からの数週間で6件。一人の研究者が出すペースとしては速い。

Chaotic Eclipseが公開したWindowsゼロデイ（2026年4月以降）
名称 狙う対象 影響 修正状況
BlueHammerCVE-2026-33825 Microsoft Defender 標準ユーザーが
SYSTEM権限を取得		 修正済み4月の月例更新
RedSun識別番号なし Microsoft Defender 標準ユーザーが
SYSTEM権限を取得		 告知なく修正
UnDefend識別番号なし Microsoft Defender 定義更新を妨害 未修正
YellowKey識別番号なし BitLocker 暗号化ドライブへ
アクセス		 未修正
GreenPlasma識別番号なし CTFMON SYSTEM権限への
足がかり		 未修正
MiniPlasmaCVE-2020-17103 クラウドファイル用
ドライバー		 標準ユーザーが
SYSTEM権限を取得		 未修正6年前の修正が消失
※ MiniPlasmaのみ2020年に一度CVE-2020-17103として修正されたが、再び未修正の状態が確認された。残る4件は識別番号が割り当てられていない。

なぜ、こうも次々と世に出すのか。研究者はこれを「抗議」だと位置づけている。Microsoftのバグ報奨金プログラムと脆弱性対応のやり方への不満が動機だという。

普通なら、直してくれと頭を下げて回るところだ。だが手短に言う。私は彼らに人生を台無しにすると告げられ、そのとおりにされた。
彼らは私を徹底的に打ちのめし、思いつくかぎりの子どもじみた手を使ってきた。あまりにひどくて、自分が巨大企業を相手にしているのか、それとも人の苦しむ姿を楽しむ誰かと向き合っているのか、分からなくなったほどだ。

発言の真偽を、ここで判定することはできない。一方の主張であることは押さえておきたい。ただ、技術的な事実は感情とは別に残る。直したはずの穴が、今も開いている。それは動機が何であれ変わらない。

Microsoftはこれまで、調整された脆弱性開示を支持し、報告された問題の調査と更新による顧客保護に取り組んでいると説明してきた。MiniPlasmaについての見解は、現時点で公表されていない。

一人の研究者が、企業の品質管理に開けた穴

この一件で本当に問われているのは、エクスプロイト1個の危険度ではない。修正の追跡が働いていなかったこと。そちらのほうが、根が深い。

CVE番号が割り振られ、修正済みと公表される。利用者はそれを信じ、対処の済んだリスクとして頭の外に追い出す。その前提が、CVE-2020-17103では崩れていた。番号は、必ずしも安全を意味しない。

もちろん、悪い話だけではない。穴の存在が表に出た以上、Microsoftは今度こそ塞ぐしかない。6年間放置されていた状態より、公開された今のほうが、利用者にとっては前進している。

技術の世界では、修正は一度やれば終わりではないらしい。本当に扉が閉まっているかは、誰かがもう一度叩いてみるまで分からない。今回それを叩いたのは、Microsoftに恨みを持つ一人だった。

参照元

関連記事

この記事を共有する
セキュリティ Windows Microsoft ゼロデイ 脆弱性 Windows 11 MiniPlasma cldflt.sys CVE-2020-17103 権限昇格 Project Zero Chaotic Eclipse
HOME

Read more