わずか1カ月前に修正されたはずのMicrosoft Defenderの脆弱性が、再び悪用可能になっている疑いが浮上しています。MSNightmareを名乗る研究者が、Microsoftの防御機構を回避しWindows上でSYSTEM権限を再取得できると主張する新しい概念実証(PoC)「ShieldBreak」を公開しました。開発者によると、現行バージョンのWindows 11とWindows Serverに対して実施したすべてのテストで、例外なく成功したとのことです。
脆弱性の正体：CVE-2026-50656(RoguePlanet)
ShieldBreakは、深刻度7.8(高)と評価され「RoguePlanet」の名で追跡されているCVE-2026-50656に起因します。この欠陥はMicrosoftのマルウェア対策エンジン内に存在し、ローカルユーザーがSYSTEMレベルまで権限を昇格できてしまうというもので、これはオペレーティングシステムをほぼ完全に制御できる立場に相当します。Microsoftは6月にこの脆弱性の存在を認めていました。
Microsoftは7月にRoguePlanetを修正済み――しかし修正は不完全だった可能性
Microsoftは7月、保護エンジンをバージョン1.1.26060.3008に更新することでRoguePlanetに対処し、それ以前のすべてのバージョンを脆弱として扱いました。この修正はDefenderの標準的な更新の仕組みを通じて配布されたため、大半のユーザーは別途手動パッケージをインストールする必要がありませんでした。
元々のRoguePlanet手法の発見者は現在、7月のパッチでは根本的な問題が完全には解決されていなかったと主張しています。8月12日に公開されたShieldBreakプロジェクトには、作者によればCVE-2026-50656に対して導入された防御を完全に回避するというデモコードが含まれています。
主張されている適用範囲と確認済みの対象
MSNightmareによれば、ShieldBreakはCanaryチャネルのビルドを含むWindows 11 25H2、およびWindows Server 2025を対象にテストされ、全テストで成功率100%を達成したと報告しています。現行版のPoCはWindows 10および対応するサーバーリリースには対応していませんが、開発者はこれらのプラットフォームも同様に脆弱であると主張しています。主張されている有効性についての独立した検証はまだ公表されていません。
なぜ重要なのか：侵入後の脅威モデル
元々のRoguePlanetは、Microsoft Defenderがファイルを処理する方法の欠陥を悪用し、権限が制限されたローカルユーザーをSYSTEMまで昇格させるというものでした。ここで重要な点として、悪用の成功には対象マシンへの既存のローカルアクセスが必要であり、この脆弱性を使ってゼロの状態からネットワーク経由でWindowsをリモート攻撃することはできません。危険性が顕在化するのは、攻撃者がすでに初期の足がかりを得た後です。いったん内部に侵入すれば、ホストの完全な制御を奪う必要があるマルウェアが、まさにこの欠陥を利用してそれを達成できてしまいます。
Microsoftはバイパスを未確認
本記事公開時点で、Microsoftは7月に配布したCVE-2026-50656向けパッチがShieldBreakの手法によって回避可能であることを公式には認めていません。そのため、現段階でShieldBreakは、正式に確認・文書化された新たな脆弱性としてではなく、作者自身が主張するパッチ回避手法として位置づけるのが妥当です。
とはいえ、ユーザーおよび管理者はMicrosoft DefenderとWindowsを常に最新の状態に保ち、状況の進展に応じてMicrosoftのセキュリティ勧告を注視すべきです。
翻訳元: https://meterpreter.org/shieldbreak-cve-2026-50656-defender-bypass/
