Microsoft Defenderのゼロデイ2件が実際の攻撃に悪用

仕組み

この脆弱性は、Defenderエンジンがファイルにアクセスする前に シンボリックリンクの解決を適切に処理できない（link following） ことが原因です。

攻撃者がシステム上で低権限のアカウントを持っている場合、この挙動を利用してDefenderのファイル操作を誘導できます。

悪用に成功すると、攻撃者は WindowsのSYSTEM権限を取得 できる可能性があります。

SYSTEM権限はWindowsで最も高い権限の一つであり、取得されると以下が可能になります。

• システム設定の変更
• セキュリティ機能の無効化
• マルウェアの常駐化

影響を受けるバージョン

影響範囲とされるのは次のエンジンバージョンです。

• Microsoft Malware Protection Engine：1.1.26030.3008 ～ 1.1.26040.7

このエンジンはDefenderのスキャンやマルウェア検知を担当するコアコンポーネントであり、通常は高権限で動作します。

CVE‑2026‑45498：Microsoft DefenderのDoS脆弱性

2つ目の脆弱性 CVE‑2026‑45498 は、Microsoft Defenderを サービス不能状態（Denial of Service） にする可能性があります。

深刻度

• CVSSスコア：4.0（Medium）
• 攻撃タイプ：DoS
• 状態：パッチ公開前から悪用確認

何が起きるのか

技術的な詳細は公開情報がまだ限られていますが、この脆弱性を利用すると Microsoft Defenderの動作を停止または不安定な状態にする 可能性があるとされています。

結果として次のようなリスクが生じます。

• Defenderが正常にスキャンできない
• エンドポイント保護が一時的に無効化
• その隙にマルウェア侵入

このタイプの攻撃は、単独よりも 後続の攻撃（侵入やランサムウェアなど）を成功させるための前段階 として利用されることが多いです。

影響を受けるDefenderコンポーネント

公開されたセキュリティアドバイザリによると、次のバージョンより古い環境が影響を受ける可能性があります。

• Malware Protection Engine：1.1.26040.8 未満
• Microsoft Defender platform：4.18.26040.7 未満

これらは更新で修正されています。

Microsoftの修正パッチと更新方法

Microsoftは2026年5月にDefenderコンポーネントのセキュリティ更新を公開しました。

Defenderは通常、以下の仕組みで自動更新されます。

• セキュリティインテリジェンス更新
• Defenderプラットフォーム更新
• Malware Protection Engine更新

そのため多くの環境では 自動的に修正済みバージョンへ更新 されます。

ただし、更新管理を手動にしている企業環境では エンジンおよびプラットフォームのバージョン確認 が推奨されています。

CISA KEVへの追加と政府機関の期限

CISAは 2026年5月20日、この2件をKEVカタログに追加しました。

米国連邦政府機関（FCEB）には、次の期限が設定されています。

• 修正期限：2026年6月3日

これは BOD 22‑01（Binding Operational Directive） に基づく義務で、対象機関は以下のいずれかを実施する必要があります。

• ベンダーパッチの適用
• 代替の緩和策
• 脆弱な製品の利用停止

背景：Microsoft製品を狙う攻撃の増加

2026年はMicrosoft製品を狙う脆弱性悪用が継続的に報告されています。

CISAが2026年5月にKEVへ追加した脆弱性には、今回のDefenderのほかに次のようなものも含まれていました。

• 古いWindowsコンポーネント
• Adobe Acrobat / Reader
• Internet Explorer関連

つまり、新しい脆弱性だけでなく古い脆弱性も依然として攻撃に利用されている 状況です。

セキュリティ担当者へのポイント

今回のDefenderゼロデイは、重要な教訓を示しています。

エンドポイント保護ソフト自体も攻撃対象になる という点です。

Defenderは多くの企業PCで常時稼働し高権限で動作するため、脆弱性が見つかると影響範囲が非常に大きくなります。

そのため組織では次を優先する必要があります。

• Defenderエンジンの自動更新を有効化
• エンドポイントセキュリティの定期パッチ適用
• KEV掲載CVEの優先対応

今回のように 公開時点ですでに攻撃が始まっているゼロデイ では、更新の遅れが直接侵害につながる可能性があります。