Microsoft Defenderの権限昇格の脆弱性ShieldBreak
Microsoftの2026年8月14日の公表によると、Microsoft Defenderのエンジンに「ShieldBreak」と公に呼ばれる権限昇格の脆弱性CVE-2026-69414がある［1］。修正の回避をうたう実証コード（PoC）「ShieldCrash」は再現試験で主張どおりの機能を示さず、試験したCyderesのHowler Cellは動作するゼロデイかどうかを確認も否定もしなかった［14］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| 深刻度 | Important | ［1］ |
| CVSS 3.1 | 基本値7.8、現状値7.0 | ［1］ |
| CWE | CWE-59（Improper Link Resolution Before File Access ('Link Following')） | ［1］ |
| 悪用されたときの影響 | Elevation of Privilege | ［1］ |
The Hacker Newsの記事では、ShieldBreakのPoCを公開したのは、Chaotic Eclipse（別名INFINITE NIGHTMARE、MSNightmare、Nightmare-Eclipse）を名乗る研究者である〔注3〕［8］。
Kevin Beaumontは、ShieldBreakがcfapi（Cloud Filter API）を使い、Defenderのクラウドのハイドレーションのスキャン中に、ユーザーモードのコールバックでファイルの内容を変えると説明した［5］。
The Hacker Newsによると、TharrosのWill DormannもShieldBreakを検証し、悪用にはDefenderの有効化が必要だとした［8］。Dormannの手順では、EICARファイルを置き、オブジェクトマネージャーのシンボリックリンクでDefenderの検査先をsystem32に向ける［8］。検査中にCLFSを使い、識別ファイルとハイドレーションのデータを、Windowsに既定では存在しないsystem32のphoneinfo.dllに差し替える［8］。続いてQueueReportingのスケジュールタスク（wermgr.exe -uploadを最上位の特権で実行する）を動かすと、wer.dllがphoneinfo.dllを読み込み、SYSTEM権限のconhost.exeが起動するとした［8］。
説明の食い違い
研究者はShieldBreakをRoguePlanet 2と呼んでいるが、Beaumontは動作が大きく異なると投稿した［4］。Beaumontの説明では、RoguePlanetは仮想ディスクとNTネイティブのファイル操作で隔離処理にシステムファイルを上書きさせる、ファイルシステムの競合状態の脆弱性である［5］。
The Hacker Newsは、ShieldBreakがCVE-2026-50656（RoguePlanet）の修正を完全に回避するものと評価されていると報じた［8］。同じ記事で、研究者はMicrosoftがRoguePlanetを適切に修正できていないと主張し、DormannはRoguePlanetとの類似が見えないとした［8］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Microsoft | CVE-2026-50656（RoguePlanet）を公開した | ［10］ |
| 2026年 | Microsoft | エンジンの更新でCVE-2026-50656に対処した（改訂2.0） | ［10］ |
| 2026年 | Kevin Beaumont | ShieldBreakが公開され、最新のWindows 11で動作したと投稿し、検知とハンティングのクエリを3つ公開した | ［4、7］ |
| 2026年 | Microsoft | CVE-2026-69414を公開し、CNAとしてCVE記録を公開した | ［1、2］ |
| 2026年 | Microsoft | CWEを加えた（改訂1.1） | ［1］ |
| 2026年 | CISA | CVE記録にCWE-269と、exploitのタグを付けたMSNightmare/ShieldBreakのリポジトリへの参照を加えた | ［2］ |
| 2026年 | Microsoft | CVE-2026-69414に対処するエンジンの更新を公開した（改訂2.0） | ［1］ |
| 2026年 | - | ShieldCrashが公開された | ［14］ |
| 2026年 | Cyderes（Howler Cell） | 公開されたShieldCrashのPoCの再現試験の結果を公表した | ［14］ |
対象の製品と版
MicrosoftのFAQでは、影響を受けるMicrosoft Malware Protection Engineの最終版は1.26070.7、修正した最初の版は1.1.26080.3〔注1〕である［1］。CVE記録は、影響を受ける範囲を1.1.0.0以上1.1.26080.3未満とした［2］。
Microsoftは、Defenderを無効にしたシステムは悪用できる状態にないと説明した［1］。脆弱性スキャナーは端末上の特定のバイナリと版番号を探し、Defenderのファイルは無効にしてもディスクに残る［1］。
The Hacker Newsが伝えた研究者の説明では、PoCは最新のWindows 11 25H2（Canaryチャネルを含む）とWindows Server 2025で試し、成功率は100%だった［8］。PoCは現在Windows 10と対応するサーバーの版に対応していないが、これらもShieldBreakに脆弱である［8］。
悪用の状況
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 公開済み（Publicly Disclosed） | Yes | Microsoft | ［1］ |
| 悪用（Exploited） | No | Microsoft | ［1］ |
| 悪用可能性 | Exploitation More Likely | Microsoft | ［1］ |
| SSVCのExploitation | poc | CISA（CVE記録のADP） | ［2］ |
| SSVCのAutomatable | no | CISA（CVE記録のADP） | ［2］ |
| SSVCのTechnical Impact | total | CISA（CVE記録のADP） | ［2］ |
| KEVへの追加の項目（cisaExploitAdd） | なし | NIST（NVD） | ［3］ |
修正と回避策
Microsoftの広報はThe Hacker Newsに、報告された脆弱性を把握して主張の妥当性と適用可能性を調べており、協調的な脆弱性開示を支持すると説明した［8］。同紙の記事の更新では、MicrosoftはShieldBreakにCVE-2026-69414を割り当てたが、発見者としてChaotic Eclipseに謝辞を出していない［8］。
Microsoftのアドバイザリの現行の版〔注2〕によると、既定の設定ではマルウェア定義とエンジンが自動で更新される［1］。エンジンの更新は通常月1回か必要に応じて出し、マルウェア定義は通常1日3回更新している［1］。Microsoftは、エンジンとマルウェア定義の自動配布が想定どおりに動いているかを、顧客が定期的に確かめることを推奨した［1］。
ShieldCrashの公開と再現試験
The Hacker Newsは、ShieldCrashがShieldBreakの修正の回避と評価されていると報じた［9］。研究者は、MicrosoftがShieldBreakを適切に修正できておらず、再悪用を防ぐ複数の箇所を直したものの、ShieldBreakをまだ悪用できる箇所を見落としたと主張した［9］。研究者の説明では、特定の条件で同じ問題をまだ起こせる［9］。
CyderesのHowler Cellの報告では、公開されたREADMEは、PoCが9月の更新後のサポート中のすべてのWindowsでSYSTEMとして任意のファイルを読めることを示すとし、この公開を骨組み（skeleton）と説明している［14］。Howler Cellが公開のPoCを試したところ、最後の名前空間のリダイレクトが毎回失敗し、Windowsのエラー145（ERROR_DIR_NOT_EMPTY）を返した［14］。SAM、SECURITY、ELAMを狙った出力は、いずれも試験環境のntdll.dllと同じ長さの2,505,480バイトのファイルだった［14］。Howler Cellの見解では、この再現はDefenderの下にある挙動が安全だと示すものでもない［14］。
SecurityWeekによると、研究者は、根本の脆弱性を使えば完全なSystem権限を得られ、SAMデータベースを取り出せるとしている［13］。SecurityWeekはMicrosoftに、ShieldCrashについての声明を電子メールで求めた［13］。
未公表の事項
- CWE-59の分類のほかの、ShieldBreakの技術的な原因についてのMicrosoftの説明
- ShieldCrashのCVE番号とMicrosoftの評価
- ShieldCrashに対するMicrosoftの修正の有無と時期
注
出典
当事者
- ［1］Microsoft Corporation『CVE-2026-69414 Microsoft Defender Elevation of Privilege Vulnerability』（2026年8月14日公開、2026年9月3日更新）
- ［11］Microsoft Corporation『Microsoft Defender for Endpoint release notes』（2026年9月1日公開、2026年10月23日更新）
公的機関
- ［2］MITRE Corporation『CVE-2026-69414』（2026年8月14日公開、2026年10月30日更新）
- ［3］National Institute of Standards and Technology『CVE-2026-69414』（2026年8月14日公開、2026年10月28日更新）
調査・観測
- ［4］Kevin BeaumontのMastodonアカウント（@GossiTheDog@cyberplace.social）『Nightmare Eclipse has published an unpatched zero day in Microsoft Defender called ShieldBreak, gets you SYSTEM privileges from any user account』（2026年8月12日公開）
- ［5］Kevin BeaumontのMastodonアカウント（@GossiTheDog@cyberplace.social）『RoguePlanet was a filesystem race condition vuln that uses virtual disks and NT native file manipulation to trick quarantine process into overwriting system files.』（2026年8月12日公開）
- ［6］Kevin BeaumontのMastodonアカウント（@GossiTheDog@cyberplace.social）『ShieldBreak appears to be CVE-2026-69414』（2026年8月17日公開）
- ［7］Kevin BeaumontのMastodonアカウント（@GossiTheDog@cyberplace.social）『I've published three detections and hunting queries for ShieldBreak.』（2026年8月12日公開）
- ［14］Cyderes, Inc.『ShieldCrash: Testing the Claimed Microsoft Defender Zero-Day』（2026年9月9日公開）
報道機関
- ［8］The Hacker News『ShieldBreak Zero-Day PoC Claims Microsoft Defender Patch Bypass With SYSTEM Access』（2026年8月12日公開、2026年8月17日更新）
- ［9］The Hacker News『Researcher Drops New Microsoft Defender PoC Showing ShieldBreak Patch Can Be Bypassed』（2026年9月9日公開）
- ［12］SecurityWeek『Nightmare Eclipse Drops Windows Zero-Day Exploit 'ShieldBreak'』（2026年8月13日公開、2026年8月14日更新）
- ［13］SecurityWeek『New 'ShieldCrash' Zero-Day Exploit Targets Microsoft Defender』（2026年9月10日公開）
背景資料
- ［10］Microsoft Corporation『CVE-2026-50656 Microsoft Defender Elevation of Privilege Vulnerability』（2026年6月16日公開、2026年7月8日更新）
更新記録
- 2026年8月16日：公開した。
- 2026年8月17日：Kevin Beaumontの8月17日の投稿（出典6）が引用したアドバイザリの当初の説明文を「注」に、The Hacker Newsの記事の8月17日の更新（出典8）が伝えた謝辞の扱いを「修正と回避策」に加えた。
- 2026年8月19日：Microsoftのアドバイザリの8月19日の改訂1.1（出典1）で加わったCWEを「脆弱性の内容」と「時系列」に加えた。
- 2026年9月1日：Microsoftのリリースノート（出典11）が載せたエンジンの日付を「注」に加えた。
- 2026年9月3日：Microsoftのアドバイザリの9月3日の改訂2.0（出典1）で公開されたエンジンの更新を「時系列」と「対象の製品と版」に加えた。
- 2026年9月9日：The Hacker Newsの記事（出典9）とCyderesの報告（出典14）を加え、ShieldCrashの公開と再現試験を「時系列」と「修正と回避策」に加え、リードの最後の文を改めた。
- 2026年9月10日：SecurityWeekの記事（出典13）を加え、ShieldCrashについての研究者の説明とMicrosoftへの問い合わせを「修正と回避策」に加えた。
- 2026年10月23日：Microsoftのリリースノートの10月23日の更新版（出典11）に合わせて、出典11の行を改めた。
- 2026年10月28日：NVDの記録の10月28日の更新版（出典3）から、KEVへの追加の項目の有無を「悪用の状況」に加えた。
- 2026年10月30日：CVE記録の10月30日の更新版（出典2）から、CISAのSSVCの評価を「悪用の状況」に、CISAが加えたCWEと参照を「時系列」に、影響を受ける版の範囲を「対象の製品と版」に加えた。