Microsoft Defenderのパッチを回避するゼロデイ脆弱性「ShieldBreak」のPoCが公開、SYSTEM権限奪取の恐れ
要点
- セキュリティ研究者のChaotic Eclipse氏が、Microsoft Defenderの既存パッチを完全に回避するゼロデイ脆弱性「ShieldBreak」の実証コード（PoC）を公開した。
- 本脆弱性は、以前修正された権限昇格の脆弱性「RoguePlanet（CVE-2026-50656）」の修正不備を突くもので、悪用されると最高特権であるSYSTEM権限が奪取される恐れがある。
- 最新のWindows 11 25H2やWindows Server 2025において100%の成功率で動作が確認されており、Windows 10環境も潜在的に影響を受けると報告されている。
- Microsoftは8月の月例セキュリティ更新で400件以上の脆弱性を修正した直後であり、今回のパッチ回避問題への対応が注視されている。
セキュリティ研究者のChaotic Eclipse氏が、Windowsの標準セキュリティ機能「Microsoft Defender」に存在する新たなゼロデイ脆弱性「ShieldBreak」の実証コード（PoC：脆弱性の悪用が可能であることを証明するプログラム）を公開したことが明らかになりました。
この脆弱性は、過去に対策されたはずの不具合に対するパッチを完全に迂回（バイパス）し、攻撃者が端末内で最上位の特権であるSYSTEM権限を取得できる危険性を持つとされています。海外メディアのThe Hacker Newsが報じました。
過去の脆弱性「RoguePlanet」とパッチ不全の経緯
今回明らかになったShieldBreakは、2026年6月に同研究者によって開示されていた脆弱性「CVE-2026-50656」（通称：RoguePlanet、CVSS基本値：7.8）に関連しています。
RoguePlanetは、複数の処理が競合することで意図しない動作を引き起こす「レースコンディション」と呼ばれる脆弱性です。これが悪用された場合、攻撃者はSYSTEM権限を持つコマンド実行画面（シェル）を不正に起動させ、任意のコード実行や不正なシステム操作を行える状態に陥ると説明されていました。
Microsoftは報告から約1カ月後の2026年7月、マルウェア保護エンジン（mpengine.dll）における特権昇格の不具合としてこの脆弱性を修正するパッチをリリースしました。しかしその後、Chaotic Eclipse氏は、Microsoftが講じた多層防御の更新によって、Windows 11 25H2およびWindows Server 2025上で特定条件下においてファイルを開こうとした際にDefenderが8バイトのデータを漏洩させる挙動を示すと指摘していました。当時、MicrosoftはThe Hacker Newsに対して報告を認識しており調査中であると回答していました。
成功率100%を主張する「ShieldBreak」の脅威
今回公開された「ShieldBreak」について、研究者は「MicrosoftはRoguePlanetの脆弱性を適切に修正できていなかった」と主張しており、実質的にCVE-2026-50656のパッチを完全に回避できるゼロデイ脆弱性であると評価しています。
Chaotic Eclipse氏の説明によると、作成された実証コードはWindows 11 25H2（Canaryチャネルを含む）およびWindows Server 2025の最新バージョンでテストされており、100%の成功率で動作したということです。また、現行の実証コードでは直接サポートされていないものの、Windows 10および該当するサーバーエディションも同様にShieldBreakに対して脆弱であると付け加えています。
なお、The Hacker Newsはこの件についてMicrosoftに問い合わせを行っており、回答が得られ次第情報を更新するとしています。
8月の月例パッチと並行して修正された重大な脆弱性
今回のゼロデイPoCの公開は、Microsoftが2026年8月の月例セキュリティ更新プログラムをリリースしたタイミングと重なっています。Microsoftはこの更新で、Windows関連の236件を含む合計421件のセキュリティ欠陥に対処しました。
この月例更新には、同じくChaotic Eclipse氏が前月に「LegacyHive」という名称で開示していたWindows User Profile Serviceの特権昇格脆弱性（CVE-2026-62832、CVSS基本値：7.8）の修正が含まれています。Microsoftによると、ファイルアクセス前のリンク解決処理に不備があり、認証されたローカル攻撃者が細工したアプリケーションを実行して他ユーザーのレジストリ情報を読み込むことで、他者のデータへのアクセスや管理者権限の不正取得が可能になる状態だったと説明されています。この攻撃にはユーザーの対話操作は不要とされています。
さらに8月の更新では、実際に悪用が確認されていたWindows Ancillary Function Driver for WinSockのゼロデイ脆弱性（CVE-2026-68820、CVSS基本値：7.0、SYSTEM権限の奪取が可能）や、Windows Container Isolation FS Filter Driver（unionfs.sys）の改ざんに関する脆弱性（CVE-2026-72971、CVSS基本値：5.5）も修正されました。
なお、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、実際に攻撃が確認されたCVE-2026-68820を「既知の悪用された脆弱性（KEV）カタログ」に追加し、米連邦政府機関に対して2026年8月25日までに修正プログラムを適用するよう義務付けています。