| 4月14日 | マイクロソフトの月例Patch Tuesdayで、BlueHammerが「CVE-2026-33825」(CVSS 7.8)として修正 |
| 4月16日 | Defenderのクラウドファイルロールバック機能を悪用する「RedSun」と、Defenderのシグネチャ更新を無効化する「UnDefend」を公開。Huntressは、3つのDefenderエクスプロイト全てがアクティブに悪用されていると確認 |
| 4月17日頃 | CISAが「CVE-2026-41091(RedSun)」と「CVE-2026-45498(UnDefend)」を「既知の悪用された脆弱性(KEV)」カタログに追加。連邦政府機関に対し、6月3日までのパッチ適用を義務付け |
| 5月12日 | 5月の月例パッチの翌日、「YellowKey(WinRE経由のBitLockerバイパス)」と「GreenPlasma(CTFMONからのSYSTEM権限昇格)」が公開 |
| 5月17日 | 「MiniPlasma」リリース。完全にパッチ適用済みのWindows 11上でSYSTEM権限を取得可能なLPE |
| 5月19日 | ThreatLockerが、MiniPlasmaが最新パッチ適用済みシステムで有効であることを確認 |
| 5月21日 | マイクロソフト、RedSunとUnDefendに対する緊急(Out-of-band)パッチをリリース |
| 5月23日頃 | GitHubがNightmare-Eclipseのアカウントを停止 |
| 5月26~27日頃 | GitLabが関連アカウントを停止 |
| 5月27日 | マイクロソフトが「共有された責任」と題するブログを公開し、一連の公開を非難。デジタル犯罪ユニット(DCU)による法的措置の可能性を示唆 |
| 7月14日(予告) | 研究者が、この日にエクスプロイトの更なる大量公開を行うと警告 |
2026年5月下旬の時点で、6つの脆弱性のうち3つは修正されましたが、残る3つは未解決のままです。中でもMiniPlasmaは、最も直接的な運用リスクをもたらしています。
MiniPlasmaが特に危険なのは、2026年5月時点の全アップデートが適用されたシステム上で、一般ユーザーがSYSTEMレベルの権限を取得できてしまう点です 。この脆弱性は、BlueHammerが標的としたのと同じ
cldflt.sys(Cloud Filesドライバ)を悪用しており、マイクロソフトが2020年に「修正済み」としていた過去の脆弱性(CVE-2020-17103)を再トリガーする形で実現されています。研究者は、マイクロソフトがこの問題に完全なパッチを当てていなかったと主張しています 。
研究者は、一連の公開をMSRCによる「不当な扱い」への報復であると明確に述べています。公開された声明や報道によると、これまでに行った非公開の脆弱性報告が却下されたり、対応が遅かったり、研究者にとって過剰だと感じる要求——動画によるエクスプロイトの実演提出を求められたとも報じられています——を受けたことに不満を募らせていました 。研究者の主張として繰り返し引用されているのは、MSRCが「私の人生を台無しにすると脅し、実際にそうした」という言葉です
。
後半のリリースが月例パッチの翌日に合わせて行われたことは、露出とプレッシャーを最大化するための明確な戦略でした。YellowKeyとGreenPlasmaは5月の月例パッチ直後の5月12日に、MiniPlasmaは5月17日に公開されています 。
5月27日、マイクロソフトは「共有された責任:協調的な脆弱性開示を通じてお客様を保護する(A shared responsibility: Protecting customers through coordinated vulnerability disclosure)」と題するブログ記事を公開しました 。この記事では、
このマイクロソフトの言葉は対立を激化させましたが、根本的な問題は解決していません。つまり、3つのゼロデイ脆弱性が未修正のまま放置されたのです。コードがホストされていたプラットフォーム側も、5月23日頃にGitHubが、その数日後にGitLabが、研究者のアカウントを停止する措置を取りました 。
4月中旬までには、最初の3つのDefenderエクスプロイト全てが現実に悪用されている状況が確認されました。HuntressとBarracudaは、GitHub上の公開リポジトリから直接PoCコードを入手し、ロシアに地理位置情報が関連付けられたインフラを利用する脅威アクターの存在を特定しています 。
CISAの反応は迅速でした。BlueHammerは4月22日にKEVカタログに追加され、連邦政府機関に対し5月6日までのパッチ適用期限が設定されました 。RedSunとUnDefendも後に追加され、6月3日が期限となりました
。これらの措置は、セキュリティツールそのものが攻撃経路と化した場合、従来の防御モデルが根本から崩壊するという深刻な懸念を反映しています。
サイバーセキュリティコミュニティの反応は二分されました。
研究者への批判は、BarracudaやThreatLocker、LevelBlueなどから上がりました。彼らはこのキャンペーンを「危険で逆効果」と評しました 。パッチが存在しない状態で武器化されたエクスプロイトを公開することは、企業ユーザーを即座に危険にさらす行為だからです。
マイクロソフトへの批判も同様に鋭いものでした。多くの研究者は、MSRCのプロセスがより誠実で迅速なものであれば、この事態全体が回避できたはずだと指摘しています。今回の連続公開は、遅いトリアージ(初期対応)、不透明なコミュニケーション、企業の報奨金制度の枠に収まらない発見者に対する敵対的な姿勢など、長年にわたる不満を再燃させました 。
研究者は沈黙したわけではありません。GitHubやGitLabでのアカウント停止後、個人ブログに活動の場を移し、次の月例パッチの日である7月14日に、さらなる大量公開を行うと明示的に脅迫しています 。この脅迫の信憑性は不明ですが、パターンはすでに確立されています。
セキュリティチームにとって、当面の最優先事項は明確です。Defenderの緊急パッチを適用し、YellowKeyの緩和策(WinREイメージのBootExecuteレジストリ値から autofstx.exe エントリを削除し、BitLockerで「TPM+PIN」保護を有効にする)を実施し 、MiniPlasmaを公式な修正手段のない現実の脅威として警戒することです。今後の月例パッチのタイミングに合わせた追加のPoCリリースを監視し、攻撃者が組織的に標的としているDefenderコンポーネントに対する代替的な防御策を準備することが求められます。
Nightmare-Eclipseの一件は、単に6つの脆弱性の問題にとどまりません。それは、プラットフォームベンダーと、彼らが依存する研究者との関係性を試す「ストレステスト」なのです。その関係が破綻したとき、結果は公共のものとなり、誰もが悪用可能で、極めて深刻なものとなるのです。
Comments
0 comments