Microsoft 2026年8月Patch Tuesday：約400件の脆弱性を修正、新たなゼロデイとパッチ回避エクスプロイトが浮上

2026年8月Patch Tuesdayの規模

今回修正された脆弱性の総数は398件から421件で、Windows、Office、Azure、Exchange、SharePointなど多岐にわたる製品が対象です。情報源ごとの内訳は以下の通りです。

• SANS ISC: 418件のCVE（共通脆弱性識別子）、うち62件がCritical
• Tenable: 398件のCVE、うち42件がCritical
• CrowdStrike: 415件のCVE、うち62件がCritical
• Splashtop: 421件のCVE
• BleepingComputer: 約400件の脆弱性、3件のゼロデイ

主要な情報源すべてが、総数は「おおよそ400件」であることで一致しています。

実際に悪用されたゼロデイ：CVE-2026-68820

Microsoftが実際に悪用されたと確認した唯一のゼロデイが、WindowsのAncillary Function Driver for WinSock（afd.sys）における特権昇格の脆弱性「CVE-2026-68820」です。Automox社はこのドライバを「事実上すべてのエンドポイントにおけるWindowsソケット接続の背後にあるドライバ」と表現しています。この脆弱性により、ローカルで認証された攻撃者は影響を受けるシステムでSYSTEMレベルのアクセスを獲得できます。

LegacyHive（CVE-2026-62832）：公開されたWindowsユーザープロファイルサービスの欠陥

「LegacyHive」という通称で知られるCVE-2026-62832は、Windows User Profile Serviceにおける特権昇格の脆弱性であり、ファイルアクセス前の不適切なリンク解決（CWE-59）に起因します。Microsoftは深刻度をImportant、CVSSスコアを7.8と評価し、悪用の可能性を「より高い」と判断しています。

LegacyHiveの仕組み

認証された攻撃者が、別のローカルアカウントの資格情報を持っている場合、特別に細工されたアプリケーションを実行することで、別のユーザーのレジストリハイブを読み込み、管理者権限を取得する可能性があります。この脆弱性は、パッチが適用される前のWindows 10、Windows 11、Windows Server 2022/2025に影響します。

ShieldBreak：Microsoft自身のパッチを回避すると主張するエクスプロイト

2026年8月12日、Patch Tuesdayの翌日、研究者Nightmare Eclipse（Chaotic Eclipseとしても知られる）は、ShieldBreakと名付けた実証コード（PoC）エクスプロイトを公開しました。研究者によると、ShieldBreakは**Microsoft Defender Malware Protection Engine（mpengine.dll）**の競合状態による特権昇格の脆弱性「CVE-2026-50656」（通称「RoguePlanet」）に対するMicrosoftの2026年7月のパッチを完全に回避するものだといいます。

ShieldBreakの動作

ShieldBreakは、完全にパッチが適用されたWindows 10、Windows 11、Windows Serverシステム上でNT AUTHORITY\SYSTEM権限を付与すると報告されています。このエクスプロイトは、先代のRoguePlanetとは異なる攻撃経路を使用します。RoguePlanetが仮想ディスクを介したファイルシステムの競合状態を悪用したのに対し、ShieldBreakは、Windows Cloud Filter API（cfapi）を介したDefenderのクラウドハイドレーションスキャン中に、ユーザーモードのコールバックをフックしてファイルの内容を改ざんします。研究者は、この実証コードはWindows 11 25H2およびWindows Server 2025で「100%の成功率」を達成すると述べています。

現状

一部のアナリストは、Microsoftがすでにこの回避ベクトルを密かにパッチしていた可能性を指摘しています。しかし、ShieldBreakが公開された時点では、この回避策を塞ぐ公式のMicrosoft修正プログラムは提供されていませんでした。独立した研究者であるHowler Cellを含む複数の情報源が、完全にパッチが適用されたWindows 11 Proホストでの再現に成功したと報告しています。

深刻化する対立：Nightmare Eclipse vs. Microsoft

ShieldBreakの公開は、Microsoftと匿名の研究者Nightmare Eclipseとの間で激化する紛争の最新章です。

2026年4月以来、9件のゼロデイを公開

2026年4月以降、Nightmare Eclipseは9件のゼロデイエクスプロイトを公開しています。これには、RedSun、UnDefend、BlueHammer、YellowKey、GreenPlasma、MiniPlasmaといった以前の脆弱性が含まれます。このうちBlueHammer、RedSun、UnDefendの3件は実際の攻撃で悪用されたことが確認され、CISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）の既知の悪用された脆弱性カタログ（KEV）に追加されました。

Microsoftの法的脅威とその反動

2026年5月27日、Microsoft Security Response Center（MSRC）は、この研究者に対する刑事訴追を示唆する投稿を公開しました。Microsoftはまた、同社傘下のGitHubおよびGitLab上の研究者のアカウントを停止しました。この動きはセキュリティコミュニティから大きな反発を招きました。2026年6月1日までに、Microsoftはその脅しを部分的に撤回し、「セキュリティ研究を実施または公開する個人に対して訴訟を起こす意図はない」と公に明確化しました。

脅威にもかかわらず公開を継続

Nightmare Eclipseは、この紛争を通じてゼロデイエクスプロイトの公開を継続しており、ShieldBreakは2026年8月のPatch Tuesday公開直後に公開されました。研究者は、Microsoftの公式チャネルを通じた以前の脆弱性報告が無視されたため、公開開示に至ったと主張しています。

IT管理者向けの重要ポイント

1. まずCVE-2026-68820にパッチを適用する — WinSockドライバのゼロデイは現在進行形で悪用されています。
2. **CVE-2026-62832（LegacyHive）**を優先的に対処する — まだ悪用は確認されていないものの、Microsoftは悪用の可能性を「より高い」と評価しており、公開されたPoCコードが存在します。
3. ShieldBreakの状況は流動的 — Microsoftは回避ベクトルを密かにパッチした可能性がありますが、公式の確認や修正プログラムはリリースされていません。管理者はMicrosoft Defender Malware Protection Engineのアップデートを監視する必要があります。
4. Nightmare Eclipseのキャンペーンは継続中 — 2026年4月以来9件のゼロデイが公開されており、さらなる公開が行われる可能性があります。