悪夢の日食、Windowsゼロデイエクスプロイト「ShieldBreak」を公開

セキュリティ研究者Nightmare Eclipseが、Windowsで特権昇格につながる新たなゼロデイエクスプロイトを公開しました。

Chaotic Eclipseとしても知られるこの不満を抱えた研究者は、過去数カ月間にわたり、たいていはPatch Tuesdayのセキュリティ更新直後のタイミングで、Microsoft製品を狙った複数のゼロデイエクスプロイトを公開してきました。

今回もその流れどおり、ShieldBreakと名付けられた新たな概念実証(PoC)エクスプロイトが、2026年8月のPatch Tuesdayに公開されました。これはMicrosoft Defenderの脆弱性を狙ったもので、あらゆるユーザーがSystem権限を取得できてしまいます。

Nightmare Eclipseによると、このエクスプロイトはRoguePlanetのパッチをバイパスするもので、最新版のWindows 11およびWindows Server 2025で動作し、Windows 10搭載マシンにも影響する可能性が高いとしています。

CVE-2026-50656として追跡されているRoguePlanetは、Defenderに存在する競合状態(レースコンディション)の欠陥で、Nightmare Eclipseが6月9日にゼロデイとして公開したものです。Microsoftは6月16日にこのエクスプロイトの存在を認め、7月9日に修正パッチを公開しました。

Tharros LabsのWill Dormann氏による分析によると、ShieldBreakはまずCloud Syncプロバイダーとして登録した一時ディレクトリを用意し、EICARファイルを仕込んでDefenderのスキャンパスをSystem32に誘導します。次にWindowsのCLFSを使ってIDファイルとハイドレーションデータをSystem32内の「phoneinfo.dll」ファイルへとすり替え、最後にQueueReportingスケジュールタスクを実行するという手順を踏みます。

「wer.dllのコードには、phoneinfo.dll[Windowsにはデフォルトで存在しないファイル]を読み込む明示的なコードが存在します。この時点でphoneinfo.dllは実在しており、しかも我々自身が仕込んだコードであるため、これが実行され、SYSTEM権限でconhost.exeが起動されます」とDormann氏は述べています。

Dormann氏、そして今回のPoCに対する検知クエリを公開したサイバーセキュリティ専門家のKevin Beaumont氏はともに、ShieldBreakがRoguePlanetのバイパスであるとするNightmare Eclipseの主張には異論を唱えています。両者の動作メカニズムが異なるためです。

「RoguePlanetは、仮想ディスクとNTネイティブのファイル操作を利用して隔離プロセスをだまし、システムファイルを上書きさせるファイルシステムの競合状態の脆弱性でした。一方ShieldBreakは、cfapi(Cloud Filter API)を介したDefenderのクラウドハイドレーションスキャン中に、ユーザーモードのコールバックフックを使ってファイル内容を書き換えるものです」とBeaumont氏は述べています。

Dormann氏はまた、「ShieldBreakが機能するにはDefenderが有効になっている必要があるようだ」と指摘しており、RoguePlanetにはこの条件はありませんでした。