Nightmare-Eclipse(Chaotic Eclipseとしても知られるセキュリティ研究者)が、ShieldBreakという名の新たなWindows権限昇格エクスプロイトを公開しました。
Securityconsulting services
このエクスプロイトは、CVE-2026-50656として追跡されているRoguePlanet Windows Defenderの脆弱性に対してMicrosoftが2026年7月に実施した修正を回避すると主張されています。
ShieldBreak Windows Defenderの0-Day
このエクスプロイトが重要視されるのは、Microsoftがマルウェア対策エンジン(Malware Protection Engine)で対処しようとした根本的な脆弱性を同様に狙っている点にあります。
まったく新しい脆弱性クラスを暴くのではなく、ShieldBreakは、元のパッチが特定の攻撃経路のみに対処したにすぎず、ローカル攻撃者が悪用可能なより広範な競合状態(レースコンディション)の欠陥を残していた可能性を示唆しています。
RoguePlanetは、Windows Defenderのスキャン処理を担う中核コンポーネントであるmpengine.dllにおける「チェック後実行」型の競合状態として特定されていた、とCSNは報じています。
この問題により、攻撃者はファイルスキャンのタイミングを操作してDefenderの処理をリダイレクトし、最終的にNT AUTHORITY\SYSTEM権限でコマンドシェルを起動できたとされています。
MicrosoftはRoguePlanetの脆弱性を認め、CVSSスコア7.8を割り当て、悪用の可能性は「高い」としていました。同社は2026年7月のセキュリティ更新サイクルで、マルウェア対策エンジンのバージョン1.1.26060.3008を通じて修正を提供しています。
Nightmare-Eclipseによると、ShieldBreakは異なる攻撃チェーンを用いて対策を回避します。この概念実証(PoC)は、悪意あるクラウドプロバイダーを登録し、それを巧妙に細工されたプレースホルダーファイルと結びつけるとされています。
さらに、Common Log File System(CLFS)の操作とObject Managerのシンボリックリンクを組み合わせることで、Defenderのファイルスキャン処理を妨害します。
この手法により、Defenderがphonefo.dllのような正規のWindowsシステムファイルをロックしている間に、攻撃者が悪意あるファイルにすり替えることができるとされています。
スキャン処理がこの改ざんされた経路をたどると、エクスプロイトは攻撃者が制御するコードをSYSTEM権限で実行させることができます。
公開された概念実証は、Canary Channelビルドを含むWindows 11 25H2およびWindows Server 2025に対して機能すると主張されています。Nightmare-Eclipseは、テスト対象において100%の成功率を達成したとしています。
Windows 10および関連するサーバーエディションも影響を受ける可能性がありますが、現時点の概念実証はこれらのプラットフォームを公式にはサポートしていません。
この主張されている信頼性の高さは、大きな懸念材料です。競合状態を突くエクスプロイトは、狭いタイミングウィンドウ内で成功させる必要があるため、通常は繰り返しの試行が求められます。
信頼性の高いローカルSYSTEM権限昇格経路が存在すれば、マルウェア感染や低権限アカウントの侵害、企業エンドポイントでの侵害後の活動による被害が拡大しかねません。
ShieldBreakは、Nightmare-Eclipseが2026年に公開した9本目のWindows向けエクスプロイトであり、これまでにBlueHammer、RedSun、UnDefend、GreenPlasma、YellowKey、MiniPlasma、RoguePlanet、そしてGreatXMLが公開されています。
これらの公開の多くは、Windows Defenderのクラウドファイル処理や修復ワークフロー、そして即座には健全性アラートを発生させずにセキュリティ保護を無力化しうる仕組みに焦点を当てています。
Securityconsulting services
報道によれば、この研究者のリポジトリはGitHubおよびGitLabによって停止措置を受けており、そのため代替のホスティングプラットフォームにコードのミラーが作成されているとのことです。
組織は、7月のマルウェア対策エンジンの更新を導入しただけでリスクが完全に排除されると考えるべきではありません。
セキュリティチームは、許可されていないクラウドプロバイダーの登録、Object Managerの名前空間における不審な活動、想定外のCLFSログ操作、そして正規の管理プロセス以外から起動されたSYSTEMレベルのシェルを監視すべきです。
Microsoftが包括的な修正を提供するまでは、Defenderに関連する異常な挙動はすべて、侵害の兆候の可能性があるものとして扱うべきです。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCから得られるライブインテリジェンスを統合
翻訳元: https://gbhackers.com/shieldbreak-windows-defender-0-day/
