- Nightmare Eclipseが新たなWindows権限昇格ゼロデイ「ShieldBreak」を公開
- 直近のパッチを回避する欠陥で、完全にアップデート済みのWindows 11でも動作
- この研究者による一連のエクスプロイト公開が続き、複数のWindows脆弱性が未修正のまま残る
Nightmare Eclipseがまたもや動きました。Microsoftに強い遺恨を持つことで知られるこのゼロデイ研究者は、最新の脆弱性情報を公開しました。今回もこれまでと同様に、Microsoftが8月分の月例パッチ(Patch Tuesday)の累積更新プログラムを公開した数時間後というタイミングを狙って、被害を最大化するように研究成果を発表しています。
この新たな欠陥は「ShieldBreak」と呼ばれ、脆弱なシステム上で攻撃者にSYSTEM権限を取得させるローカル権限昇格の脆弱性と説明されています。影響を受けるシステムの範囲はかなり広く、最新のセキュリティパッチを適用済みのものを含め、Windows 11の全バージョンが該当します。
「このPoCは最新版のWindows 11 25H2(+Canaryチャンネル)およびWindows Server 2025でテスト済みで、成功率は100%です」と、Nightmare Eclipseは自身のGitHubアカウントで述べています。「なお、Windows 10(および対応するServerエディション)は現時点でサポート対象外ですが、ShieldBreakに対して同様に脆弱であることは付け加えておきます」
RoguePlanet修正パッチを回避
この正体不明の攻撃者はまた、この不具合が実際にはMicrosoftが以前の自身の研究成果「RoguePlanet」を修正するために発行したパッチのバイパスであるとも述べています。
「MicrosoftはRoguePlanet脆弱性(CVE-2026-50656)を適切に修正できていません。このPoCはパッチの完全なバイパスを実証するものです」と、GitHub上の記述にはあります。
一方Microsoftは、いかにも企業らしい対応として、「調査中」であり「協調的な脆弱性開示を支持する」という定型的な声明を発表するにとどまりました。
The Registerの取材に対し、Microsoftの広報担当者は、Microsoftは「報告された脆弱性を認識しており、これらの主張の妥当性と潜在的な該当性について積極的に調査を進めている」と回答しました。
声明ではさらに、「Microsoftはセキュリティ問題の調査と、影響を受ける製品のできる限り早期のアップデートを通じて顧客を保護することに全力を尽くしています。重要な点として、当社は協調的な脆弱性開示という業界標準を支持しています。これは、研究者の発見が公表される前に十分に調査・対処されることを保証することで、顧客を保護すると同時に研究コミュニティを支援するものです」としています。
使命に燃えるハッカー
ShieldBreakを含めると、これまでに公開されたWindowsの脆弱性・エクスプロイトの数は合計10件に達しました。Nightmare Eclipseによる一連の活動は2026年4月に始まり、当時は低権限のユーザーにSYSTEM権限相当のアクセスを許してしまうWindows Defenderのローカル権限昇格の欠陥「BlueHammer」を実証しました。この研究者は、BlueHammer(現在はCVE-2026-33825として追跡されている)は以前にもMicrosoftに報告済みだったが、Microsoft側の対応がずさんだったと主張しています。
この研究成果を公開する直前、この人物はこう述べています。「誰かが我々の合意に違反し、私を何もない状態で放り出した。彼らはこうなることを分かっていながら、それでも私を裏切った。これは彼らの決断であって、私の決断ではない」
当初、Microsoftは強硬な姿勢を取り、この公開を「決して正当化できない」と表現し、顧客を危険にさらす者に対して法的措置を取る可能性すら示唆していました。
コミュニティはこの声明をNightmare Eclipseに対する法的措置の脅しと受け止め、反発が広がりました。その後Microsoftは態度を軟化させ、「法的な対応方針を明確にしておくと、セキュリティ研究を行う、あるいはその成果を公表する個人に対して法的措置を取るつもりは一切ない」と述べています。
その間もNightmare Eclipse(別名Chaotic Eclipse)は、次々と成果を公開し続けました。Defenderを標的とした「RedSun」と「UnDefend」、BitLockerのバイパスである「YellowKey」、CTFMONを起点とする権限昇格の欠陥「GreenPlasma」、Microsoftが2020年に一度修正した脆弱性の再発である「MiniPlasma」、Defenderの別の権限昇格バグである「RoguePlanet」、BitLocker/Windows回復環境(Windows Recovery Environment)のバイパスである「GreatXML」、Windowsユーザープロファイルサービスの権限昇格の欠陥「LegacyHive」、そして今回の「ShieldBreak」です。
BlueHammerは4月に、RedSunとUnDefendは5月に、YellowKey、GreenPlasma、MiniPlasmaは6月にそれぞれ修正されました。RoguePlanetは7月にパッチが提供された一方、LegacyHive、GreatXML、ShieldBreakは依然として未修正のままです。
なお、Nightmare Eclipseが公開した成果のすべてが、第三者にとって同じように完全で再現可能だったわけではない点も指摘しておく必要があります。GreenPlasmaについては、独立した研究者らが脆弱性自体は含まれているものの、それを確実に動作するエクスプロイトに仕立て上げるには相当な追加の技術的作業が必要だったと述べています。初期のDefender関連のエクスプロイトの一部も、繊細な競合状態(レースコンディション)とWindowsコンポーネントの非常に特殊な処理順序に依存していたため、再現が難しかったようです。
しかし、ShieldBreakはその点でより危険性が高いようです。The Registerの取材に対し、セキュリティ研究者のKevin Beaumont氏は、これが実際に動作することを確認したと述べています。「実際に試してみたが、最新のWindows 11で動作する」と同氏は同メディアに語っています。
同氏はまた、ShieldBreakはRoguePlanetの修正パッチに対するバイパスと説明されているものの、両者の仕組みは実際にはかなり異なると指摘しています。
「RoguePlanetは、仮想ディスクとNTネイティブのファイル操作を用い、検疫プロセスを騙してシステムファイルを上書きさせる、ファイルシステムの競合状態を突く脆弱性でした」とBeaumont氏は説明します。「一方ShieldBreakは、cfapi(Cloud Filter API)を介したDefenderのクラウドハイドレーション(cloud-hydration)スキャン中に、ユーザーモードのコールバックフックを使ってファイル内容を書き換えるものです」
Nightmare Eclipseがまだどれだけの手駒を残しているのかは誰にも分かりませんが、来月のPatch Tuesdayの数時間後にも、この人物の動向には確実に注目が集まることになりそうです。
