- MicrosoftはDefenderで積極的に悪用されている2つのゼロデイの脆弱性にパッチを当てました。CVE‑2026‑41091（権限昇格）とCVE‑2026‑45498（サービス拒否）として追跡されています
- 更新はMalware Protection Engine 1.1.26040.8とAntimalware Platform 4.18.26040.7を通じて自動的に配信されましたが、ユーザーはバージョンを手動で確認することをお勧めします
- CISAは両方のバグをそのKEVカタログに追加し、連邦機関に6月3日までに脆弱なソフトウェアにパッチを当てるか廃止するよう求めました
Microsoftは、Defenderアンチウイルスツールに影響を与える2つのゼロデイ脆弱性のパッチをリリースしました。
新しいセキュリティ勧告で、同社はMicrosoft Malware Protection Engine 1.1.26030.3008以前に影響を与える権限昇格セキュリティバグと、Microsoft Defender Antimalware Platform 4.18.26030.3011以前のサービス拒否の欠陥を修正したと述べました。
前者はCVE-2026-41091として追跡され、7.8/10（高）の重大度スコアが与えられました。これにより、悪意のある行為者がローカルで権限を昇格させることができます。後者はCVE-2026-45498で追跡され、7.5/10（高）の重大度スコアを持っています。
CISAが悪用を確認
脆弱性に対処するため、Microsoftはマルウェア保護エンジン1.1.26040.8と4.18.26040.7をリリースしました。各欠陥に対するものです。同社は、Defenderがデフォルト設定で自動的にこれらの更新を受け取るため、顧客側でのアクションは不要だと述べました。
しかし、両方の欠陥が野外で積極的に悪用されているため、「ウイルス＆脅威保護」ウィンドウに移動し、保護更新に移動して、「更新を確認」をクリックして二重チェックを行う価値があります。Antimalware ClientVersionの番号は、上記のバージョン番号を表示する必要があります。
バグが悪用されているという確認はUS Cybersecurity and Infrastructure Security Agency（CISA）から来ました。CISAは最近これらをKnown Exploited Vulnerabilities（KEV）カタログに追加しました。
それが起こると、連邦市民執行支部（FCEB）の機関は通常、脆弱なソフトウェアにパッチを当てるか、すぐに使用を停止するための2週間の期限があります。この場合、機関は6月3日までの期間があります。
「このタイプの脆弱性は、悪意のあるサイバー行為者の頻繁な攻撃ベクトルであり、連邦企業に重大なリスクをもたらします」とCISAは説明しました。「ベンダーの指示に従って軽減策を適用するか、クラウドサービスに適用可能なBOD 22-01ガイダンスに従うか、軽減策が利用できない場合は製品の使用を廃止してください。」
