仕組み：アンチウイルスエンジン自体のTOCTOU競合状態

この脆弱性は、不適切なリンク解決の問題（CWE-59） に根ざした Time-of-Check to Time-of-Use（TOCTOU）競合状態 です 。Microsoft Malware Protection Engineは、設計上 NT AUTHORITY\SYSTEM として動作します。このエクスプロイトは、エンジンを自身に対して競合させます。

• 低権限ユーザーが、エンジンがチェックする（Time-of-Check）特殊なシンボリックリンクまたはファイルを作成し、エンジンが使用する前（Time-of-Use）にすり替えます。
• オプロック（oplock）を使用してタイミングを確実に制御することでこの競合に勝利し、攻撃者はエンジンのファイル操作を、自身が制御するディレクトリなどの任意の場所にリダイレクトします 。
• エンジンは攻撃者が選択したパスで特権ファイル操作（書き込みや実行など）を実行し、事実上 SYSTEM権限 でコマンドシェルを起動します 。

このエクスプロイトは ローカル です。攻撃者は既にマシンへの標準ユーザーアクセス権を持っている必要がありますが、それ以上の追加の権限は必要ありません 。また、Defenderのリアルタイム保護が有効か無効かに関わらず動作します 。

CVSSスコアと深刻度

Microsoftは CVSS 3.1ベーススコア7.8（HIGH） を割り当てており、攻撃複雑性は低い（Low）と評価しています（オプロックにより競合が信頼できると主張）。NVDはベーススコア 7.0（HIGH） をリストし、攻撃複雑性は高い（High）としています（競合の難しさを認識）。時間的ベクトル（E:F/RL:U/RC:C）により、Microsoftの評価では時間的スコアは 7.6 となります 。

この脆弱性は、Microsoft Exploitability Indexで 「悪用される可能性が高い（Exploitation More Likely）」 と評価されています 。

公開のタイムライン

公開エクスプロイトのリリースからMicrosoftの認識までのギャップは重要でした。

公開エクスプロイトリリース（6月10日）からMicrosoftの認識（6月16日）までのギャップは約6日間でした。2026年7月上旬時点で、エクスプロイトは公開されてから 約1カ月 が経過し、修正は提供されていません 。

発見者：Nightmare Eclipseキャンペーン

この脆弱性は、セキュリティ研究者 Nightmare Eclipse（別名 Chaotic Eclipse）によって発見され、公開されました 。

これは、同研究者のMicrosoft Defenderを標的とした 継続的なキャンペーンにおける7番目のエクスプロイト です。これまでに公開されたDefenderの欠陥には、BlueHammer、RedSun、UnDefend、YellowKey、GreenPlasma などの以前の特権昇格やバイパスの脆弱性が含まれています 。TechRadarはRoguePlanetを「Defenderの攻撃対象領域に対する持続的なリサーチキャンペーン」の一部と特徴づけています 。ThreatLockerなどの第三者グループによる検証済みのPoC再現により、エクスプロイトチェーンの信頼性が確認されています 。

パッチ遅延に対するコミュニティの批判

長期化するパッチギャップは、セキュリティコミュニティから鋭い批判を招きました。

• Red Hound は状況を率直に表現しました。「すべてのWindowsに標準搭載されているアンチウイルスに対する実用的なエクスプロイトが2週間以上公開されているのに、まだパッチがない」。
• Cloud Security Alliance は、公開から9日が経過した6月19日時点でパッチやアウトオブバンドリリースの予定が発表されていないと指摘し、すべてのコンシューマーおよびエンタープライズWindowsシステムに搭載されている脆弱性にとって、このウィンドウは「憂慮すべき」ものであると述べています 。
• cve.tools は、公開から21日が経過した2026年7月1日時点でパッチが存在せず、長期化した露出は「中核的なセキュリティコンポーネントにおける公に悪用可能なゼロデイとしては異例」と報告しています 。
• 複数の情報源は、Microsoft自身のアンチウイルスエンジン、つまり最後の防御線がSYSTEMレベルの侵害のベクターとして使用されているという皮肉と、Microsoftからの緊急性の欠如がその脆弱性対応プロセスに疑問を投げかけていることを強調しています 。

核心的な不満は、DefenderがすべてのWindowsインストールでデフォルトで有効になっているため、この脆弱性の攻撃対象領域は膨大であるにもかかわらず、機能的なエクスプロイトコードが公開されているにもかかわらず、暫定的なパッチ（アウトオブバンド）が発行されなかったことです 。

組織が取るべき暫定的な緩和策と措置

情報源は、Microsoftが恒久的な修正をリリースするまで、以下の措置を一貫して推奨しています。

修正が利用可能になったら適用する

• Microsoftがセキュリティアップデートをリリースしたら、Microsoft Malware Protection Engine（MsMpEng）を更新します。これは通常、Windows Update または Microsoft Update カタログ を通じて配信されます 。
• 2026年7月10日時点では修正は存在しません。アウトオブバンドリリースについては、CVEアドバイザリとMicrosoft Security Response Center（MSRC）を監視してください 。

暫定的な緩和策（パッチ未提供）

• ローカルユーザーアカウントを制限する。 このエクスプロイトはインタラクティブログオンを必要とするため、機密性の高いシステム上の標準ユーザーの数を最小限に抑えます 。
• AppLockerまたはWDAC（Windows Defender Application Control）を適用 して、信頼されていないPoCバイナリを含む、許可されていない実行可能ファイルやスクリプトの実行をブロックします 。
• ASR（攻撃対象領域の縮小）ルールを有効 にして、資格情報の窃取や信頼されていないプロセスをブロックします。ただし、これらがTOCTOU競合を直接阻止できるとは限りません 。
• 既知のエクスプロイトアーティファクトを監視する。 このエクスプロイトは、特定のオプロックとシンボリックリンクの作成に依存しています。異常なオプロックの使用や、SYSTEM以外のプロセスによる予期しないシンボリックリンクの作成を警告するEDRルールを展開します 。
• Windowsエンドポイントへの物理的/論理的アクセスを制限する ことを優先します。これは、脆弱性がローカルコード実行を必要とするため、最も信頼性の高い暫定的な制御です 。
• 最小権限モデルを使用 します。標準ユーザーにローカル管理者権限を付与しないでください。ただし、これによってエクスプロイトが防止されるわけではないことに注意してください（標準ユーザーからSYSTEMに昇格します）。

仕組み：アンチウイルスエンジン自体のTOCTOU競合状態

この脆弱性は、不適切なリンク解決の問題（CWE-59） に根ざした Time-of-Check to Time-of-Use（TOCTOU）競合状態 です 。Microsoft Malware Protection Engineは、設計上 NT AUTHORITY\SYSTEM として動作します。このエクスプロイトは、エンジンを自身に対して競合させます。

• 低権限ユーザーが、エンジンがチェックする（Time-of-Check）特殊なシンボリックリンクまたはファイルを作成し、エンジンが使用する前（Time-of-Use）にすり替えます。
• オプロック（oplock）を使用してタイミングを確実に制御することでこの競合に勝利し、攻撃者はエンジンのファイル操作を、自身が制御するディレクトリなどの任意の場所にリダイレクトします 。
• エンジンは攻撃者が選択したパスで特権ファイル操作（書き込みや実行など）を実行し、事実上 SYSTEM権限 でコマンドシェルを起動します 。

このエクスプロイトは ローカル です。攻撃者は既にマシンへの標準ユーザーアクセス権を持っている必要がありますが、それ以上の追加の権限は必要ありません 。また、Defenderのリアルタイム保護が有効か無効かに関わらず動作します 。

CVSSスコアと深刻度

Microsoftは CVSS 3.1ベーススコア7.8（HIGH） を割り当てており、攻撃複雑性は低い（Low）と評価しています（オプロックにより競合が信頼できると主張）。NVDはベーススコア 7.0（HIGH） をリストし、攻撃複雑性は高い（High）としています（競合の難しさを認識）。時間的ベクトル（E:F/RL:U/RC:C）により、Microsoftの評価では時間的スコアは 7.6 となります 。

この脆弱性は、Microsoft Exploitability Indexで 「悪用される可能性が高い（Exploitation More Likely）」 と評価されています 。

公開のタイムライン

公開エクスプロイトのリリースからMicrosoftの認識までのギャップは重要でした。

公開エクスプロイトリリース（6月10日）からMicrosoftの認識（6月16日）までのギャップは約6日間でした。2026年7月上旬時点で、エクスプロイトは公開されてから 約1カ月 が経過し、修正は提供されていません 。

発見者：Nightmare Eclipseキャンペーン

この脆弱性は、セキュリティ研究者 Nightmare Eclipse（別名 Chaotic Eclipse）によって発見され、公開されました 。

これは、同研究者のMicrosoft Defenderを標的とした 継続的なキャンペーンにおける7番目のエクスプロイト です。これまでに公開されたDefenderの欠陥には、BlueHammer、RedSun、UnDefend、YellowKey、GreenPlasma などの以前の特権昇格やバイパスの脆弱性が含まれています 。TechRadarはRoguePlanetを「Defenderの攻撃対象領域に対する持続的なリサーチキャンペーン」の一部と特徴づけています 。ThreatLockerなどの第三者グループによる検証済みのPoC再現により、エクスプロイトチェーンの信頼性が確認されています 。

パッチ遅延に対するコミュニティの批判

長期化するパッチギャップは、セキュリティコミュニティから鋭い批判を招きました。

• Red Hound は状況を率直に表現しました。「すべてのWindowsに標準搭載されているアンチウイルスに対する実用的なエクスプロイトが2週間以上公開されているのに、まだパッチがない」。
• Cloud Security Alliance は、公開から9日が経過した6月19日時点でパッチやアウトオブバンドリリースの予定が発表されていないと指摘し、すべてのコンシューマーおよびエンタープライズWindowsシステムに搭載されている脆弱性にとって、このウィンドウは「憂慮すべき」ものであると述べています 。
• cve.tools は、公開から21日が経過した2026年7月1日時点でパッチが存在せず、長期化した露出は「中核的なセキュリティコンポーネントにおける公に悪用可能なゼロデイとしては異例」と報告しています 。
• 複数の情報源は、Microsoft自身のアンチウイルスエンジン、つまり最後の防御線がSYSTEMレベルの侵害のベクターとして使用されているという皮肉と、Microsoftからの緊急性の欠如がその脆弱性対応プロセスに疑問を投げかけていることを強調しています 。

核心的な不満は、DefenderがすべてのWindowsインストールでデフォルトで有効になっているため、この脆弱性の攻撃対象領域は膨大であるにもかかわらず、機能的なエクスプロイトコードが公開されているにもかかわらず、暫定的なパッチ（アウトオブバンド）が発行されなかったことです 。

組織が取るべき暫定的な緩和策と措置

情報源は、Microsoftが恒久的な修正をリリースするまで、以下の措置を一貫して推奨しています。

修正が利用可能になったら適用する

• Microsoftがセキュリティアップデートをリリースしたら、Microsoft Malware Protection Engine（MsMpEng）を更新します。これは通常、Windows Update または Microsoft Update カタログ を通じて配信されます 。
• 2026年7月10日時点では修正は存在しません。アウトオブバンドリリースについては、CVEアドバイザリとMicrosoft Security Response Center（MSRC）を監視してください 。

暫定的な緩和策（パッチ未提供）

• ローカルユーザーアカウントを制限する。 このエクスプロイトはインタラクティブログオンを必要とするため、機密性の高いシステム上の標準ユーザーの数を最小限に抑えます 。
• AppLockerまたはWDAC（Windows Defender Application Control）を適用 して、信頼されていないPoCバイナリを含む、許可されていない実行可能ファイルやスクリプトの実行をブロックします 。
• ASR（攻撃対象領域の縮小）ルールを有効 にして、資格情報の窃取や信頼されていないプロセスをブロックします。ただし、これらがTOCTOU競合を直接阻止できるとは限りません 。
• 既知のエクスプロイトアーティファクトを監視する。 このエクスプロイトは、特定のオプロックとシンボリックリンクの作成に依存しています。異常なオプロックの使用や、SYSTEM以外のプロセスによる予期しないシンボリックリンクの作成を警告するEDRルールを展開します 。
• Windowsエンドポイントへの物理的/論理的アクセスを制限する ことを優先します。これは、脆弱性がローカルコード実行を必要とするため、最も信頼性の高い暫定的な制御です 。
• 最小権限モデルを使用 します。標準ユーザーにローカル管理者権限を付与しないでください。ただし、これによってエクスプロイトが防止されるわけではないことに注意してください（標準ユーザーからSYSTEMに昇格します）。