Windows Defenderのゼロデイ脆弱性「RoguePlanet」に緊急パッチ、実証コード公開から29日後にようやく修正
2026年7月10日 14:37
Microsoftは、Windows Defenderの権限昇格ゼロデイ脆弱性「RoguePlanet」（CVE-2026-50656）に対する緊急アップデートを公開した。この脆弱性は、セキュリティ研究者が実証コード（PoC）を公開してから29日間にわたり、完全にパッチが適用されたWindows 10やWindows 11のPCをSYSTEM権限奪取の脅威に晒し続けていた。セキュリティチームは、管理下のすべての端末で「Microsoft Malware Protection Engine」が最新バージョンに更新されているか、直ちに確認する必要がある。
■Defenderの設計構造を突いてSYSTEM権限を奪取する「RoguePlanet」
「RoguePlanet」は、Defenderのスキャンエンジンがファイルパスを処理する際、処理実行前にパスを解決する方法に起因するローカル権限昇格の脆弱性である。この脆弱性は「CWE-59（ファイルアクセス前の不適切なリンク解決）」に分類され、チェックから実行までの時間差（Time-of-Check-to-Time-of-Use：TOCTOU）に起因する。エンジンがファイルパスの正当性を検証した後、特権処理を実行するまでのわずかな隙に、攻撃者がWindowsのディレクトリジャンクションやシンボリックリンクを用いてパスの参照先を書き換えることで、DefenderのSYSTEM特権処理を検証されていない任意の対象に実行させることが可能になる。
この手法が、一般的なアプリケーションのバグよりもはるかに高い「SYSTEM権限」の完全な奪取につながる理由は、Defenderの設計そのものにある。Microsoftのマルウェア対策サービスを実行する「MsMpEng.exe」は、サポートされているすべてのWindows上でSYSTEM権限で動作している。これは、OS上のあらゆる場所にある悪意あるファイルを隔離、削除、または書き換えるために、保護されたシステムディレクトリを含むすべてのファイルにアクセスできるようにするための意図的な設計である。しかしその結果、スキャナーが実行するすべてのファイル操作がSYSTEM特権処理となってしまう。攻撃者はこの操作の着信先をリダイレクトするだけで、パスワードを破ったりカーネルの脆弱性を突いたりすることなく、スキャナー自身の正規のアクションから自動的に権限を引き継ぐことができてしまう。
■実証コードの公開と影響範囲
セキュリティ研究者の「Nightmare Eclipse」氏は、Microsoftが2026年6月の月例パッチ（Patch Tuesday）をリリースした数時間後の6月10日に、RoguePlanetの動作する実証コード（PoC）を公開した。同氏のGitHubおよびGitLabアカウントが削除された後、このコードはセルフホスト型のリポジトリで公開され、複数のセキュリティベンダーによって、累積更新プログラム「KB5094126」を適用済みのWindows 11やWindows 10で動作することが個別に確認された。ThreatLockerとPicus Securityの両社も、このエクスプロイトの動作を独自に検証している。エクスプロイトの成功率はハードウェアによって異なる確率的なものであったが、Nightmare Eclipse氏は一部の構成で100%の成功率を達成したと報告しており、セキュリティアナリストは、ローカルアクセスを持つ攻撃者であれば、レースコンディションに勝つまで単に再試行を繰り返すことができると指摘している。
Microsoftはアドバイザリにおいて、今回のパッチ公開時点で野生（実環境）での悪用は確認されていないとしながらも、CVE-2026-50656の悪用可能性を「悪用の可能性が高い（Exploitation More Likely）」と評価した。この修正はエンジンバージョン「1.1.26060.3008」で提供され、特定のCVE修正以外にも、Malware Protection Engineに対する追加の多層防御の改善が含まれている。
■ウイルス対策ソフトのアーキテクチャがもたらす構造的リスク
RoguePlanetの脆弱性は、Microsoft Defenderにおいて同種の弱点が発生した初めてのケースではない。Defenderエンジンに対するCWE-59のジャンクションおよびシンボリックリンク攻撃は、過去の複数のCVEでも発生しており、同製品内で公開文書化された事例も少なくとも1件存在する。Microsoftはジャンクションを利用した攻撃を阻止するため、2026年5月中旬に内部の「mpengine!SysIO」APIファミリーを密かに強化していた。しかし、Nightmare Eclipse氏はその強化策をバイパスするようにRoguePlanetを再設計し、単一のコードパスを塞ぐだけでは、この脆弱性を悪用可能にしている構造的な状況に対処できないことを証明した。
その構造的な状況とは、スキャナー自体が持つSYSTEM権限である。Defenderエンジンのアーキテクチャを分析するセキュリティ研究者らは、この根本的なジレンマを明確に説明している。DefenderがSYSTEM権限で動作するのは、OSを保護するためにその特権レベルが必要だからである。しかし同時に、その特権レベルのせいで、スキャナー内のあらゆるファイル処理バグ（攻撃者がエンジンの処理対象パスに影響を与えることができるあらゆる欠陥）が、自動的にシステム全体の完全な侵害へとエスカレートすることを意味する。アーキテクチャを変更せずにこの脆弱性クラスの個々の事例にパッチを当てるだけでは、根本的なリスクは残されたままになる。特定のコードパスは変わっても、「ファイルパスを解決するSYSTEM特権プロセス」という不変の条件は変わらないからである。
防御側にとってのより広い意味合いは、このクラスのDefenderの脆弱性は一回限りの出来事ではなく、繰り返し発生するカテゴリであるということだ。セキュリティチームは、今回のパッチ適用後であっても、「MsMpEng.exe」が予期しない子プロセス（コマンドシェル、スクリプトホスト、または通常のスキャナー出力ではないプロセス）を起動したというアラートを、現在進行中の攻撃を示す信頼性の高いインジケーターとして扱うべきである。この検知ロジックはエンジンアップデートによって無効化されるものではなく、この種のアタックに対する価値ある罠（トリップワイヤー）として機能し続ける。
■3ヶ月で7件のエクスプロイト：Nightmare Eclipseの活動
RoguePlanetは、Nightmare Eclipseとして知られる研究者が2026年4月初旬以降に公開した、7番目のゼロデイ実証コードである。同氏はMicrosoft Defender、BitLocker、およびWindowsのコアコンポーネントを矢継ぎ早に標的にしてきた。この一連の活動は、Defenderのシグネチャ更新ワークフローにおけるTOCTOUの欠陥である「BlueHammer」（CVE-2026-33825）から始まり、同氏はMicrosoftへの事前通知なしにこれを一般公開した。その後、「RedSun」「UnDefend」「YellowKey」「GreenPlasma」「MiniPlasma」の5つのエクスプロイトが急速に公開された。このキャンペーンは、約10日に1回というハイペースで新しい開示が行われてきた。
正体が確認されていないこの研究者は、MicrosoftのSecurity Response Center（MSRC）ポータルを通じて脆弱性を報告しようとしたものの、Microsoftが提出に使用したアカウントを削除し、それ以上の関与を拒否したと主張している。一方、Microsoftは脆弱性に関する正式な協調的開示（CVD）を受け取っていないと反論しており、両者間のやり取りは公表されていない。この対立は、協調的開示プロセスにおけるベンダーの義務について、セキュリティ業界内で根強い議論を再燃させている。
Nightmare Eclipse氏が過去に開示した「BlueHammer」「RedSun」「UnDefend」の3件は、Microsoftがパッチを適用する前に、実世界の攻撃者によって武器化された。米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）はこれらを「既知の悪用された脆弱性（KEV）」カタログに追加し、連邦機関に対して2026年6月3日までにパッチを適用するよう義務付ける拘束力のある指令を発令した。セキュリティ企業Huntressは、Nightmare Eclipse氏のツールを組み合わせた攻撃チェーンを含む、少なくとも1件の確認されたインシデント対応事例を文書化している。今回のパッチにより、Microsoftは同氏が公開したすべてのゼロデイ脆弱性を修正したことになる。しかし、これで広範な対立が終息するかどうかは別問題である。Nightmare Eclipse氏は以前、次のMicrosoft Patch Tuesdayにあたる7月14日に新たな開示を行うと警告していた。
■報奨金制度を巡る対立から脅威キャンペーンへ
Nightmare Eclipse氏の開示に対するMicrosoftの公的な対応は5月下旬にエスカレートした。同社のSecurity Response Centerはブログ記事を公開し、一連のリリースを無責任であると非難し、悪用によって顧客に被害が生じたケースについてはデジタル犯罪ユニット（Digital Crimes Unit）と連携することを示唆した。セキュリティ専門家らは、この記事を刑事訴追をちらつかせた事実上の脅威であると広く解釈した。この対応は、サイバーセキュリティのベテランたちから即座に激しい批判を浴びた。
Trend MicroのZero Day Initiativeで脅威啓発部門の責任者を務め、元Microsoftのセキュリティエンジニアでもあるダスティン・チャイルズ（Dustin Childs）氏は、Microsoftが一方的なCVD違反の主張を裏付ける自社のやり取りを公開していないことを踏まえ、同社の姿勢を「大胆不敵（bold）」と表現した。「CVDは双方向の道路だ。ベンダー側にも一定の責任がある」とチャイルズ氏は述べた。また、Microsoft在籍中に同社のバグ報奨金プログラムを立ち上げ、現在はLuta Securityを率いるケイティ・ムoussouris（Katie Moussouris）氏は、デジタル犯罪ユニットへの言及は「他の研究者に萎縮効果をもたらすだろう」と指摘した。
Microsoftは6月1日、法的な脅迫姿勢を撤回し、合法的なセキュリティ研究を行う人々に対して法的措置を講じる意図はないことを明確にした。ただし、顧客に実質的な被害をもたらす犯罪行為は別問題であるという留保を付け加えている。同社は一連の脆弱性の発見においてNightmare Eclipse氏の功績を認めておらず、複数の研究者は、開示がどのように行われたかにかかわらず、この対応は標準的な慣行から逸脱していると指摘している。
Black Duckのコリン・ホーグ・スピアーズ（Collin Hogue Spears）氏は、この出来事を「ランダムな破壊行為ではなく、協調的な脆弱性開示における破綻である」と評し、「研究者に明確な回答と、迅速かつ説明のある報奨金決定を提示し、明確な法的セーフハーバーによって裏付けられた開示チャネル」の必要性を訴えた。このエピソードは、人工知能（AI）によって脆弱性の発見ペースが加速する中、従来の90日間の協調的開示ウィンドウが構造的に時代遅れになっているのではないかという、業界内で進行中の議論を激化させている。
■セキュリティチームが今日行うべき対策
Malware Protection Engineのアップデートは、標準的な構成では自動的に配信される。管理者は、インストールされているエンジンのバージョンが「1.1.26060.3008」以上であることを確認することで、適用を確認できる。Defenderを手動で無効化しているシステムは自動アップデートを受け取らず、今回のCVE-2026-50656に対して脆弱ではないものの、定義上ウイルス対策の保護なしで動作しているため、他の脅威に晒されたままとなる。
インターネットから隔離された（エアギャップ）環境や、手動で管理されているエンドポイントを持つ組織では、エンジンのアップデートを手動で実行する必要があり、今日の最優先事項として扱うべきである。今回のパッチが適用されるまでに29日間の公開PoC期間があったことを考慮し、セキュリティチームはその期間のテレメトリを確認し、悪用の兆候がないか調査する必要がある。「MsMpEng.exe」がインタラクティブなコマンドシェルやスクリプトホスト、その他の予期しない子プロセスを起動した形跡があれば、侵害の可能性を示すインジケーターとして調査すべきである。
RoguePlanetのエピソードがセキュリティ運用リーダーに示すより広い教訓は、この特定のCVEにとどまらない。SYSTEM権限で動作するウイルス対策エンジンは、構造的にWindowsエンドポイントにおける「最も価値の高いローカル標的」である。なぜなら、それを侵害するためにはスキャナーの検知ロジックを破る必要はなく、その特権ファイル操作の1つをリダイレクトするだけで済むからである。つまり、このクラスのDefenderの脆弱性は、ユーザーモードの権限昇格バグに通常割り当てられる低い優先度ではなく、カーネルエクスプロイトと同等の検知投資を行う価値があることを意味している。
■注目ポイントQ&A
●Windows PCにRoguePlanetのパッチが適用されているか確認するにはどうすればよいですか？
インストールされているMicrosoft Malware Protection Engineのバージョンを確認してください。Windows 10または11では、「Windows セキュリティ」を開き、「ウイルスと脅威の防止」から「保護の更新」を選択します。表示されるエンジンのバージョンが「1.1.26060.3008」以上であれば適用済みです。管理者は、Microsoft Intune、Microsoft Configuration Manager、またはレジストリ値（AMProductVersion）を対象としたPowerShellスクリプトを使用してバージョンを照会できます。デフォルト設定のシステムは自動的にアップデートを受信しますが、バージョンが古い場合は手動で定義更新を実行してください。
●Microsoft Defenderの「リアルタイム保護」を無効にすれば、RoguePlanetの脆弱性を回避できますか？
いいえ、回避できません。Nightmare Eclipse氏および独立した研究者らの検証により、リアルタイム保護の有効・無効にかかわらず、CVE-2026-50656の実証コードが動作することが確認されています。この脆弱性は、リアルタイム監視時だけでなく、スケジュールスキャンやオンデマンドスキャンを含むすべてのスキャン実行時に呼び出されるファイル処理ロジックに存在するためです。リアルタイム保護を無効にしてもエンジンの動作は停止せず、脆弱性は解決しません。完全な対策は、エンジンをバージョン「1.1.26060.3008」以降にアップデートすることのみです。
●なぜWindows Defenderでは同種の権限昇格の脆弱性が繰り返されるのですか？
Windowsのディレクトリジャンクションやシンボリックリンクを悪用する「CWE-59」脆弱性が繰り返されるのは、Defenderのアーキテクチャに起因します。Defenderのスキャンエンジンは、OS上のあらゆる場所で悪意あるファイルを処理するために、Windowsで最高レベルの「SYSTEM権限」で動作しています。そのため、スキャナー内にファイルパス操作のバグが1つでもあると、攻撃者は自動的にSYSTEM権限を獲得できてしまいます。2026年5月にMicrosoftが実施した内部APIの強化も別のパスでバイパスされており、個別のパッチ適用ではこの構造的なリスクは根本解決しません。
●Microsoftとセキュリティ研究者との関係悪化は、Windowsユーザーを危険に晒していますか？
複数の専門家が、Microsoftの対応が研究者による非公開の脆弱性報告を阻害し、結果的にユーザーを危険に晒していると指摘しています。Nightmare Eclipse氏とMicrosoftの主張のどちらが正しいかは第三者には検証できませんが、結果として3ヶ月の間に7件のゼロデイ実証コードが公開され、そのうち3件はパッチ適用前に実際の攻撃に悪用されました。今回のRoguePlanetでも、パッチが提供されるまでの29日間、完全にアップデートされたPCであっても誰でも実行可能なエクスプロイトの脅威に晒され続けるという実質的なリスクが生じました。
元記事: Defender Zero-Day Patched 29 Days After Public Exploit Exposed Millions of PCs