Microsoft Defenderの脆弱性対策に回避手法、研究者がパッチをすり抜ける新PoC「ShieldCrash」を公開

要点

• セキュリティ研究者のChaotic Eclipse氏が、Microsoft Defenderに存在する新たなゼロデイ脆弱性の実証コード（PoC）を公開した。

• 今回公開された「ShieldCrash」は、先月報告され修正されたばかりの脆弱性「CVE-2026-69414（通称ShieldBreak）」のパッチを回避する手法とされる。

• 最新版を含むサポート対象のすべてのデスクトップ版Windowsにおいて、SYSTEM権限で任意のファイルが読み取られる恐れがある。

• マイクロソフトは直前にマルウェア対策エンジンの更新版を配信していたが、研究者は修正の抜け穴が残されていたと指摘している。

• 同研究者は直近数週間で、CrowdStrikeやKaspersky、Avast、NVIDIAの製品を対象としたPoCも相次いで公開している。

• セキュリティ研究者のChaotic Eclipse氏は2026年9月、Microsoft Defenderに存在する新たなゼロデイ脆弱性の実証コード（PoC：脆弱性が実際に悪用可能であることを示す検証用プログラム）を公開しました。今回の問題は「ShieldCrash」と命名されており、マイクロソフトが直前に対処した修正パッチを回避できることが示されています。サポートされているすべてのデスクトップ版Windowsが影響を受けるとされ、悪用された場合はシステム上で最も強い特権を持つSYSTEM権限で任意のファイルを読み取られる危険性が指摘されています。

パッチ回避を示す「ShieldCrash」の概要と影響範囲

「ShieldCrash」と名付けられた今回の脆弱性は、Chaotic Eclipse氏が前月に報告していた脆弱性「CVE-2026-69414（通称：ShieldBreak、CVSSスコア7.8：脆弱性の深刻度を示す指標）」に対する修正をすり抜けるものと評価されています。

Chaotic Eclipse氏はGitHub上でPoCを公開した上で、「マイクロソフトはShieldBreak（CVE-2026-69414）を適切に修正できていなかった」と述べています。同氏の説明によると、マイクロソフトは問題の再発を防ぐためにいくつかの対策を施したものの、依然として悪用可能な箇所を見落としていたため、特定の条件下ではShieldBreakと全く同一の問題を引き起こすことができるとしています。

公開されたPoCでは、最新バージョンのWindowsが導入された環境において、SYSTEM権限による任意ファイルの読み取りが可能であることが実証されています。この影響は、現在サポートが継続されているすべてのデスクトップ向けWindows OSに及ぶと説明されています。

マイクロソフトによるパッチ配信と公式見解

今回のPoC公開に先立ち、マイクロソフトはCVE-2026-69414を修正するため、セキュリティ機能の中核である「Microsoft Malware Protection Engine」のアップデート（バージョン 1.1.26080.3）を数日前にリリースしたばかりでした。

このエンジン更新は自動で適用される仕組みとなっており、利用者が手動で操作を行う必要はありません。また、Microsoft Defenderを意図的に無効化している環境には影響しないとされています。

マイクロソフトはセキュリティアドバイザリの中で、「絶えず変化する脅威環境に対応するため、マルウェア定義およびMicrosoft Malware Protection Engineを頻繁に更新している」と説明しています。さらに、新たな脅威や広範囲に広がる脅威から保護するためにはマルウェア対策ソフトを適時最新に保つことが不可欠であるとした上で、企業導入および一般利用のいずれにおいてもデフォルトで自動更新が有効になっており、常に最新の状態が維持されるよう推奨している旨を強調していました。

主要セキュリティ製品を標的としたPoC公開が続く

Chaotic Eclipse氏はここ数週間の間に、Microsoft Defender以外にも複数の著名なセキュリティ製品やソフトウェアを対象とした脆弱性のPoCエクスプロイトを相次いで公開しています。

同氏がこれまでに公開した脆弱性には、以下のものが含まれます。

• CrowdStrike Falcon Sensorを対象とした「FalconFlank」
• Kaspersky製品を対象とした「HardBreacher」
• Avast Antivirusを対象とした「PrettyPrague」
• NVIDIA製品を対象とした「GreenSection」

これらのうち、Kaspersky（HardBreacher）とAvast（PrettyPrague）については、各ベンダーによってすでに修正パッチが提供されています。一方で、CrowdStrikeはThe Hacker Newsの取材に対し、提供された報告について現在調査を進めている段階であると回答しています。