Microsoft Defenderの脆弱性「RoguePlanet」が修正、SYSTEM権限奪取の恐れ　修正後に新たな課題も報告

要点

• Microsoftは、Microsoft Defenderの重大な脆弱性「RoguePlanet（CVE-2026-50656）」を修正するセキュリティ更新プログラムをリリースした。
• 本脆弱性は、Windowsの最上位権限である「SYSTEM権限」で任意のコードが実行可能になるレースコンディションの問題である。
• 脆弱性は「Microsoft Malware Protection Engine」の最新版で修正されており、通常のユーザー環境では自動的に適用される。
• 脆弱性を発見した研究者は、今回の修正によって導入された変更が特定の条件下で8バイトのデータ漏洩を引き起こす問題や、ディスク容量を枯渇させる別の挙動を報告している。

リード文

Microsoftは2026年7月9日、Microsoft Defenderにおける重大な脆弱性「RoguePlanet」に対処するセキュリティ更新プログラムをリリースした。この脆弱性は、悪用されるとWindowsにおける最上位のシステム実行権限である「SYSTEM権限」を奪取される恐れがあるもので、セキュリティ研究者のChaotic Eclipse氏が詳細を公開してから約1ヶ月後の修正となった。本修正は、同ソフトウェアの基盤となるスキャンエンジンを対象として自動的に配布されている。

脆弱性の詳細と影響範囲

今回修正された脆弱性は「CVE-2026-50656」（CVSSスコア：7.8）として識別されている。問題が存在するのは、Microsoft Defenderのアンチウイルスおよびアンチスパイウェア機能において、ファイルのスキャン、検出、駆除などを担う中核コンポーネント「Microsoft Malware Protection Engine」（mpengine.dll）である。

この脆弱性は、セキュリティ研究者のChaotic Eclipse（別名 Nightmare-Eclipse）氏によって最初に開示された。同氏の説明によると、この問題は処理の競合によって予期せぬ動作を招く「レースコンディション」の不具合に起因している。攻撃者がこの不具合を悪用した場合、SYSTEM権限でシェル（OSの操作を行うためのコマンド入力画面）を起動することが可能になり、結果として任意のコードの実行や、認可されていないシステム操作を行えるようになる。

この脆弱性の影響は、2026年6月の月例更新プログラムが適用された最新状態のWindowsシステムでも動作することが確認されていた。さらに、同氏は、Microsoft Defenderの「リアルタイム保護」機能が有効であるか無効であるかに関わらず、このエクスプロイト（脆弱性を悪用するプログラム）が動作することを明らかにしていた。なお、Microsoftは同氏をこの脆弱性の発見者として公式にはクレジットしていない。

同氏がこれまでに公開したDefenderの脆弱性は、今回で4件目となる。これまでに「BlueHammer」（CVE-2026-33825）、「UnDefend」（CVE-2026-45498）、「RedSun」（CVE-2026-41091）の3件が同氏によって公開されており、いずれもすでにMicrosoftによって修正が行われている。

対策と更新プログラムの適用方法

Microsoftは、この脆弱性を「Microsoft Malware Protection Engine」のバージョン 1.1.26060.3008 で修正した。また、今回のアップデートには、特定のセキュリティ関連機能を強化するための「防御の深化（defense-in-depth）」を目的とした更新も含まれている。

Microsoftによると、今回の更新プログラムの適用にあたって、一般ユーザーおよびシステム管理者が手動で操作を行う必要はない。Microsoft Defenderなどのマルウェア対策ソフトウェアは、インターネットに接続されている環境において、エンジンおよび定義ファイルを自動で更新する仕組みになっているためである。ただし、必要に応じてユーザーが手動で更新プログラムの確認を行うことも可能となっている。

修正プログラム適用後の新たな懸念点

一方で、脆弱性を発見したChaotic Eclipse氏は、自身のウェブサイトで公開した最新の分析において、今回の「防御の深化」アップデートが別の不具合をもたらしている可能性を指摘している。

同氏によると、修正プログラムが適用された新しいエンジンでは、特定のシナリオにおいてファイルを開こうとした際、Microsoft Defenderが8バイトのデータをリーク（漏洩）させる挙動を示すという。現時点では、このリークされたデータを一般ユーザーの権限で取得する方法は見つかっておらず、データはドライバーに対してのみ漏洩している状態だとしている。

また、同氏はMicrosoft Defenderのファイル処理に関する別の制限と例外についても指摘している。通常、Microsoft Defenderはディスク容量の完全な枯渇を防ぐため、スキャンや隔離を行うファイルのサイズに制限を設けている。しかし、「mpengine.dll」内の「SpyNet関数」（脅威情報の分析や共有を行う機能）においては例外が存在し、ファイルのダウンロード元などのインターネットゾーン情報を記録する代替データストリーム（ADS）である「Zone.Identifier」ファイルを、サイズに関わらずローカルにキャッシュしようとする挙動があるという。

Chaotic Eclipse氏によれば、攻撃者はこの仕様を悪用し、カスタムのSMB（ネットワーク上でファイル共有を行うための通信プロトコル）サーバーを用いることで、システムに悪影響を及ぼすことができるという。具体的には、攻撃者が用意したカスタムSMBサーバーから、悪意のある実行ファイル（例：Mimikatzなど）と、それに続く極めて大容量の「Zone.Identifier」ファイルを配信する。そして、Microsoft Defenderからの読み取り要求に対して、ある時点で応答を意図的に停止させつつ接続を維持する。これにより、Defenderは動作を停止（ハング）し、対象ファイルをロックしたままディスク容量をすべて消費してしまうという。

この現象によってシステム自体がクラッシュすることはないものの、ディスク容量が満杯になることで、Windows上の複数のアプリケーションやサービスがランダムに強制終了するなど、OSが正常に動作しなくなる恐れがあると同氏は説明している。