ShieldBreak Windowsゼロデイ：Microsoft Defenderの特権昇格脆弱性と、セキュリティコミュニティがMicrosoftを非難する理由

脆弱性は、Windowsシステム上で最高レベルのアクセス権限である NT AUTHORITY\SYSTEM として動作する Microsoft Defender アンチマルウェアサービス（MsMpEng） に存在します。その技術的メカニズムは以下の通りです。

• 根本原因: ShieldBreakは、同じ研究者が以前に開示したDefenderの脆弱性「RoguePlanet」（CVE-2026-50656）に対する、Microsoftの2026年7月のパッチを完全にバイパスするものです。Microsoftのパッチは特定の悪用経路を閉鎖したものの、Defenderの特権プロセスにおける根本的なアーキテクチャ上の弱点を修正していませんでした。
• 悪用メカニズム: RoguePlanetのファイルシステムの競合状態（レースコンディション）攻撃を再利用する代わりに、ShieldBreakはDefenderプロセス内の ユーザーモードコールバックをフック します。クラウドフィルターAPI（cfapi）を介した クラウドハイドレーションスキャン 中にファイルの内容を操作します。これはDefenderがクラウドからファイルを取得してスキャンするために使用する機能です。スキャンの適切なタイミングでファイルを改ざんすることで、Defenderを騙し、SYSTEM整合性レベルで任意のコードを実行させます。
• ユーザーの操作が必要: これは リモートコード実行（RCE）の脆弱性ではありません。攻撃者はすでに標的のマシン上で低権限のコード実行を達成している必要があります（例：マルウェア、悪意のあるスクリプト、非特権アプリ経由）。ShieldBreakはその足がかりをフルSYSTEM権限に昇格させます。
• 報告された成功率: 研究者はWindows 11 25H2およびWindows Server 2025で 100%の成功率 を主張しており、この悪用は著名なセキュリティ研究者であるWill Dormann氏とKevin Beaumont氏によって独立して確認されています。

影響を受けるWindowsバージョン

ShieldBreakは2026年8月のPatch Tuesday時点で「完全にパッチ適用済み」のシステムで動作するため、現時点でこれをブロックするMicrosoftの更新プログラムはありません。影響を受けるバージョンは以下の通りです。

この脆弱性が悪用されるには、Microsoft Defenderが有効な状態である必要があります。

RoguePlanet（CVE-2026-50656）との関係

• RoguePlanet は、Nightmare Eclipseが2026年6月9日にゼロデイとして開示したDefenderの特権昇格脆弱性（CVSS 7.8、Microsoftは「悪用の可能性がより高い」と評価）でした。Microsoftは2026年7月のPatch Tuesdayサイクルでこのパッチをリリースしました。
• ShieldBreakはそのパッチの 実質的なバイパス です。無関係なバグクラスを導入するのではなく、RoguePlanetが露呈したMicrosoft Malware Protection Engineの同じ根本的な弱点に、異なるコードパスを通じて到達します。コミュニティの評価は、Microsoftの修正は表面的なパッチに過ぎず、根本原因の解決にはなっていないというものです。

ゼロデイステータス：パッチ未提供

• ShieldBreakは未パッチのゼロデイです。 Microsoftは2026年8月のPatch Tuesdayサイクルで修正プログラムをリリースしませんでした。
• Microsoftは 脆弱性を認め 、積極的に調査中 であると述べていますが、パッチの提供時期については明言していません。注目すべき点として、Microsoftはバイパスの有効性を直ちに否定しませんでした。
• いくつかのセキュリティベンダー（Tanium、Security Arsenal）は、Defenderの設定強化や低権限アカウントの制限などのサードパーティ製の 緩和ガイダンス を公開していますが、これらはパッチではなく一時的な回避策です。

より広い文脈：研究者 vs. Microsoft

長引く確執

Nightmare Eclipseは、バグ報告および開示ポリシーをめぐり、Microsoftと公に摩擦を起こしてきた歴史がよく知られています。研究者は、Microsoftが脆弱性の報告を 繰り返し無視、却下、または先送り してきたと主張しています。ShieldBreakは研究者にとって 9件目の公開Windowsゼロデイ開示 であり、最も多作な独立系Windowsバグハンターの一人となっています。

法的脅威

2026年7月下旬、Microsoftの法務チームはNightmare Eclipseに 脅迫状 を送り、研究者がMicrosoftの協調的脆弱性開示（CVD）プログラムの枠外で脆弱性を公開し続ける場合は法的措置を取ると警告しました。研究者はそれにもかかわらずShieldBreakを公開し、2026年8月のPatch Tuesdayの数時間後 というタイミングを意図的に選び、影響を最大化しました。

セキュリティコミュニティによるMicrosoftへの非難

広範なセキュリティコミュニティは、Microsoftの法的な姿勢を強く批判しています。主な論点は以下の通りです。

• 独立した確認: 研究者のWill Dormann氏とKevin Beaumont氏はShieldBreakが実際に動作することを確認し、Microsoftのパッチが不十分だったことを実証しました。
• 法的脅威への批判: バグを適切に修正する代わりに、独立した研究者に訴訟で脅しをかけることは逆効果であり、信頼を損なうとみなされています。
• 一方的なCVDポリシー: Microsoftの開示ポリシーは一方的であり、Microsoftが好むタイムラインや形式から外れた研究者は、たとえ正確な報告であっても法的な威嚇に直面すると見なされています。
• 「メッセンジャーを非難」: いくつかのメディアは、Microsoftのアプローチを、Defenderの特権アーキテクチャの体系的な欠陥に対処するのではなく、メッセンジャーを非難するものと位置付けました。

主要なポイント

ShieldBreakは単一の脆弱性以上のものです。これは、パッチと弁護士による戦略を取るMicrosoftと、意味のある修正を強制する唯一の方法として公開開示をますます見なすセキュリティ研究コミュニティとの間の、成長する対立の最新の火種です。2026年8月14日現在、パッチは存在せず、研究者に対するMicrosoftの法的姿勢は業界全体から鋭い非難を浴びています。