- 研究者らが、コンシューマー向けDDR4/DDR5メモリに「Download more RAM」脆弱性を発見
- この攻撃はWindowsのVBSとHVCIを回避し、アンチウイルスや各種保護機能を無効化
- MicrosoftはCVE‑2026‑23670にパッチを適用済み。現在はメモリの書き込み保護を有効化するツールが提供されている
Microsoftは先ごろ、脅威アクターが高度なセキュリティ対策を回避し、アンチウイルスソフトウェアを無効化した上で、標的デバイスを完全に乗っ取られる状態にさらしかねない脆弱性を修正しました。
驚くべきことに、この一連の攻撃は非常にシンプルなスクリプトと、被害者側のたった一度のクリックだけで実行できてしまう可能性があったといいます。
幸いにも、この脆弱性はホワイトハットハッカーによって発見され、Microsoftに報告された上で、悪用される前に修正されました。
Download more RAM
2026年のUSENIX Security Symposiumにおいて、バーミンガム大学とダラム大学のセキュリティ研究者らが「Download more RAM」と名付けた発見を発表しました。
研究者らによると、一部のコンシューマー向けメモリチップ(DDR4およびDDR5のDIMM)は、マザーボードに送信する構成情報をソフトウェアから書き換えられる状態になっていました。つまり実際には、脅威アクターがRAMチップに指示を出し、実際よりも大きな容量であるかのようにコンピュータへ報告させることが可能だったのです。これにより、デバイスは実際の2倍のRAMメモリを搭載していると「錯覚」させられてしまいます。
研究者らはさらに、この幻の余剰メモリ領域が実メモリ領域のエイリアスとして機能しうることを突き止めました。これにより、本来はプロセッサとWindowsによって保護されているはずのメモリ領域を、読み取りだけでなく書き換えることも可能になってしまいます。
この抜け穴によって、研究者らは仮想化ベースセキュリティ(VBS)とハイパーバイザー強制コードインテグリティ(HVCI)の両方を回避できました。
Windows 10で初めて導入されたVBSは、ハードウェア仮想化を利用して重要なセキュリティ機能をOSから切り離すセキュリティ機能です。一方HVCIは、仮想化技術を用いて、信頼・検証済みのコードのみがWindowsカーネル内で実行されるようにする仕組みです。
研究者らはこの脆弱性を利用して、アンチウイルスとエンドポイント検知・対応(EDR)ソフトウェアの双方を無効化したほか、脆弱性を抱えた旧式ドライバーの再導入、ロックダウン中の企業システムの侵害、そしてカーネルレベルで動作するゲームのチート対策の回避にも成功しています。
最も厄介な点は、この一連のプロセスをすべて連結し、ワンクリックで実行できるスクリプトにまとめられることです。理論上、被害者がこのスクリプトをファイルとして受け取り実行してしまえば、メモリエイリアスの作成、コンピュータの再起動、そしてセキュリティ保護機能の無効化という一連の攻撃の連鎖が引き起こされることになります。
「私たちの研究は、すべてのプロセスが同じメモリを共有しているという事実を突いて、Windowsの最も強固なセキュリティ保証を回避するものです」と、バーミンガム大学のトム・チョシア教授は述べています。「この種の従来の攻撃には、ドライバーと物理的なマシンへのアクセスが必要でした。しかし今回のものはスクリプト1つで済んでしまいます。これは、誰が攻撃を実行できるのか、そしてそれがどこまで広がりうるのかという状況を一変させるものです」
影響を受けるのは誰か、そしてどう身を守るか
攻撃対象となりうる範囲もかなり広いことがわかっています。研究者らが市場を調査したところ、Corsair、G.Skill、ADATAという主要3社が、構成チップの保護がまったく施されていないコンシューマー向けメモリ製品ラインを少なくとも1つは出荷していることが判明しました。これら3社を合わせると、ハイパフォーマンス向けコンシューマーメモリ市場の55%以上、ゲーミング市場の70%以上を占めています(ただし、これはハイパフォーマンス市場の55%が脆弱であることを意味するものではありません。多くのデバイスは他社製のモジュールも搭載しているためです)。
Crucial、Kingston、HyperX、および一部のG.Skill製品ラインのモジュールについては、部分的な書き込み保護が実装されていることが確認されており、こちらはデバイスの安全性を保つには十分な水準だったといいます。
研究者らは、この研究成果を公表する前にMicrosoftへ発見内容を開示し、Microsoftは迅速に対応しました。この脆弱性は現在CVE-2026-23670として追跡されており、National Vulnerability Database(NVD)では「Windows仮想化ベースセキュリティ(VBS)エンクレーブにおける信頼できないポインタの逆参照」であり、「認可された攻撃者がローカルでセキュリティ機能を回避することを許してしまう」ものと説明されています。
この脆弱性の深刻度スコアは5.7/10(中)とされ、2026年4月のPatch Tuesdayの累積更新プログラムの一部として修正されました。したがって、セキュアブートを有効にしているシステムであれば、この脆弱性から保護されているはずです。
CorsairはiCueツールに新機能を追加し、ユーザーが自身のメモリモジュールに対して事後的に書き込み保護を有効化できるようにしました。研究者らによれば、HWinfoという無料ツールにも同様の機能があり、Corsair製以外のモデルにおいてもこの問題を緩和できるとのことです。また、一部のマザーボードにはメモリ構成チップへの書き込みをブロックするBIOS設定が用意されており、ユーザーはこれを暫定的な対策として有効にすることもできます。
「『Download More RAM』攻撃は、システム、とりわけセキュリティ保証の仕組みを理解しておくことの重要性を改めて示すものです。下位レイヤーが侵害されうる状態にあれば、システム全体がリスクにさらされてしまいます」と、バーミンガム大学のマリウス・ミュンヒ博士は語っています。
「Windowsは、管理者権限を持つ攻撃者であってもセキュアカーネルには手を出せない、という強力な約束を掲げています。しかし私たちの調査で、その約束は『メモリが自分自身について正直に申告している』という前提の上に成り立っていることがわかりました。実際に人々が購入しているメモリの多くでは、その前提が成立するとは限らないのです」
