RoguePlanetがSYSTEMレベルアクセスを獲得する仕組み

RoguePlanetは、Microsoft Defenderのファイル修復ロジックにおける競合状態（race condition）を悪用するローカル権限昇格（LPE）エクスプロイトです。Defenderが悪意のあるファイル、特にリモートSMBサーバー上のファイルを検出すると、アクション（隔離や削除）を実行する前にファイルパスを検証します。脆弱性は、Defenderが書き込み操作を実行する時点でパスを再検証しない点にあり、これにより狭いタイミングウィンドウが生まれます。

攻撃者がこの競合状態に勝利すると、Defender自身の正当なファイルを上書きしたり、任意のコードを実行したりでき、最終的にSYSTEM権限を持つコマンドプロンプトを起動できます。ただし、研究者はこのエクスプロイトを「当たるか外れるか」と表現し、マシンによっては100%成功する一方、全く動作しないケースもあると報告しています。

主な技術的詳細は以下の通りです：

• 事前のアクセスが必要：攻撃者は最初に標的マシンへの低権限アクセスを獲得している必要があります。
• 独立した確認：セキュリティ企業ThreatLockerは、2026年6月の全アップデートを適用したシステムでこのエクスプロイトの再現に成功しました。
• 現時点で修正なし：本稿執筆時点で、パッチは提供されていません。

この手法は、以前Nightmare Eclipseが公開したBlueHammer（CVE-2026-33825）の研究の延長線上にあり、Defenderの修復プロセスにおけるTOCTOU（チェック時刻と使用時刻の間）競合状態を悪用する点で共通しています。

Patch Tuesdayを覆い隠すタイミングでの公開

Microsoftの2026年6月のPatch Tuesdayは、過去最多となる200件の脆弱性に対応し、その中にはNightmare Eclipseが数ヶ月前に公開していた2件のDefender脆弱性（BlueHammer、RedSun）の修正も含まれていました。この大規模更新は、包括的なセキュリティ対応を示す意図がありました。

Rapid7は、6月の更新で公開済みの3件の脆弱性がNightmare Eclipseの一連の騒動に直接関連していると指摘しています。研究者の反応は即座で、劇的でした。5月28日の投稿で「骨を砕く」ゼロデイ公開を予告。パッチ公開から数時間後にRoguePlanetを提供したことは、プロセスが不十分であるという直接的なメッセージでした。

数ヶ月にわたる対立の背景

RoguePlanetの公開は、単独で発生したものではありません。2026年4月以来、Nightmare Eclipseが公開した7つ目のゼロデイであり、それぞれがMicrosoftとの激しい確執をエスカレートさせ、セキュリティコミュニティを巻き込むものとなっています。

研究者の不満

Nightmare Eclipse（別名「Chaotic Eclipse」、「MSNightmare」）は、Microsoftの公式MSRCポータルに繰り返し脆弱性を報告したものの、無視されたり、説明なくクローズされたり、拒絶的な対応を受けたと主張しています。さらに、GitHub、GitLab、MSRCポータルのアカウントを無効化され、バグ報告の公式チャネルをすべて遮断されたとしています。公に屈辱を与えられ、手段を失った研究者は、完全なゼロデイエクスプロイト（動作する概念実証コードを含む）の公開を開始しました。

連鎖するゼロデイ

RoguePlanet以前に、6件の脆弱性が公開され、それぞれ影響範囲を広げていました：

• BlueHammer（CVE-2026-33825）— Defenderの競合状態によるLPE
• RedSun（CVE-2026-41091）— 別のDefender LPE脆弱性
• UnDefend（CVE-2026-45498）— 3つ目のDefender脆弱性
• YellowKey、GreenPlasma、MiniPlasma — BitLockerやCTFを含むコンポーネントの脆弱性

5月下旬までに、BlueHammer、RedSun、UnDefendの3件が実際に悪用されていることが確認され、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）はこれらを既知の悪用脆弱性カタログに追加しました。

Microsoftの強硬姿勢と撤退

Microsoftの初期対応は強硬でした。同社は非協力的な開示を「無責任」と非難し、パッチ提供前に顧客を重大なリスクにさらすと警告しました。5月下旬には、研究者を法執行機関に刑事捜査として付託する可能性を示唆し、セキュリティコミュニティから即座に反発を招きました。

批判派は、Microsoftの初期報告対応（無視やクローズ、アカウント停止）が公開開示の根本原因だと主張しました。圧力は目に見える効果をもたらしました。6月2日、Microsoftは「セキュリティ研究を行う個人に対する法的措置は取らない」と声明を発表し、公に軟化しました。しかし、被害はすでに表面化しており、予告されたPatch Tuesdayの公開は予定通り行われました。

RoguePlanetは、壊れた開示パイプラインの具体的な産物です。公式には完全に安全とされるシステム上で動作するエクスプロイトを示しています。防御側にとっての即時の教訓は、コアセキュリティ製品の未解決の競合状態が悪用可能である限り、Patch Tuesdayだけでは完全なセキュリティ境界とはなり得ないということです。

RoguePlanetがSYSTEMレベルアクセスを獲得する仕組み

RoguePlanetは、Microsoft Defenderのファイル修復ロジックにおける競合状態（race condition）を悪用するローカル権限昇格（LPE）エクスプロイトです。Defenderが悪意のあるファイル、特にリモートSMBサーバー上のファイルを検出すると、アクション（隔離や削除）を実行する前にファイルパスを検証します。脆弱性は、Defenderが書き込み操作を実行する時点でパスを再検証しない点にあり、これにより狭いタイミングウィンドウが生まれます。

攻撃者がこの競合状態に勝利すると、Defender自身の正当なファイルを上書きしたり、任意のコードを実行したりでき、最終的にSYSTEM権限を持つコマンドプロンプトを起動できます。ただし、研究者はこのエクスプロイトを「当たるか外れるか」と表現し、マシンによっては100%成功する一方、全く動作しないケースもあると報告しています。

主な技術的詳細は以下の通りです：

• 事前のアクセスが必要：攻撃者は最初に標的マシンへの低権限アクセスを獲得している必要があります。
• 独立した確認：セキュリティ企業ThreatLockerは、2026年6月の全アップデートを適用したシステムでこのエクスプロイトの再現に成功しました。
• 現時点で修正なし：本稿執筆時点で、パッチは提供されていません。

この手法は、以前Nightmare Eclipseが公開したBlueHammer（CVE-2026-33825）の研究の延長線上にあり、Defenderの修復プロセスにおけるTOCTOU（チェック時刻と使用時刻の間）競合状態を悪用する点で共通しています。

Patch Tuesdayを覆い隠すタイミングでの公開

Microsoftの2026年6月のPatch Tuesdayは、過去最多となる200件の脆弱性に対応し、その中にはNightmare Eclipseが数ヶ月前に公開していた2件のDefender脆弱性（BlueHammer、RedSun）の修正も含まれていました。この大規模更新は、包括的なセキュリティ対応を示す意図がありました。

Rapid7は、6月の更新で公開済みの3件の脆弱性がNightmare Eclipseの一連の騒動に直接関連していると指摘しています。研究者の反応は即座で、劇的でした。5月28日の投稿で「骨を砕く」ゼロデイ公開を予告。パッチ公開から数時間後にRoguePlanetを提供したことは、プロセスが不十分であるという直接的なメッセージでした。

数ヶ月にわたる対立の背景

RoguePlanetの公開は、単独で発生したものではありません。2026年4月以来、Nightmare Eclipseが公開した7つ目のゼロデイであり、それぞれがMicrosoftとの激しい確執をエスカレートさせ、セキュリティコミュニティを巻き込むものとなっています。

研究者の不満

Nightmare Eclipse（別名「Chaotic Eclipse」、「MSNightmare」）は、Microsoftの公式MSRCポータルに繰り返し脆弱性を報告したものの、無視されたり、説明なくクローズされたり、拒絶的な対応を受けたと主張しています。さらに、GitHub、GitLab、MSRCポータルのアカウントを無効化され、バグ報告の公式チャネルをすべて遮断されたとしています。公に屈辱を与えられ、手段を失った研究者は、完全なゼロデイエクスプロイト（動作する概念実証コードを含む）の公開を開始しました。

連鎖するゼロデイ

RoguePlanet以前に、6件の脆弱性が公開され、それぞれ影響範囲を広げていました：

• BlueHammer（CVE-2026-33825）— Defenderの競合状態によるLPE
• RedSun（CVE-2026-41091）— 別のDefender LPE脆弱性
• UnDefend（CVE-2026-45498）— 3つ目のDefender脆弱性
• YellowKey、GreenPlasma、MiniPlasma — BitLockerやCTFを含むコンポーネントの脆弱性

5月下旬までに、BlueHammer、RedSun、UnDefendの3件が実際に悪用されていることが確認され、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）はこれらを既知の悪用脆弱性カタログに追加しました。

Microsoftの強硬姿勢と撤退

Microsoftの初期対応は強硬でした。同社は非協力的な開示を「無責任」と非難し、パッチ提供前に顧客を重大なリスクにさらすと警告しました。5月下旬には、研究者を法執行機関に刑事捜査として付託する可能性を示唆し、セキュリティコミュニティから即座に反発を招きました。

批判派は、Microsoftの初期報告対応（無視やクローズ、アカウント停止）が公開開示の根本原因だと主張しました。圧力は目に見える効果をもたらしました。6月2日、Microsoftは「セキュリティ研究を行う個人に対する法的措置は取らない」と声明を発表し、公に軟化しました。しかし、被害はすでに表面化しており、予告されたPatch Tuesdayの公開は予定通り行われました。

RoguePlanetは、壊れた開示パイプラインの具体的な産物です。公式には完全に安全とされるシステム上で動作するエクスプロイトを示しています。防御側にとっての即時の教訓は、コアセキュリティ製品の未解決の競合状態が悪用可能である限り、Patch Tuesdayだけでは完全なセキュリティ境界とはなり得ないということです。