Microsoft Defenderの最新のパッチバイパスは、見覚えのある問題を浮き彫りにしています。
新たに公表されたMicrosoft Defenderの脆弱性「ShieldBreak」は、ある攻撃経路を塞いだとしても、同じ結果に至る別の経路が常に閉じられるわけではないことを示しています。
Microsoftはこの脆弱性にCVE-2026-69414という識別子を割り当て、Microsoft Malware Protection Engineにおける権限昇格（EoP）の脆弱性であると確認しています。Microsoftは現在もセキュリティ更新プログラムの開発を進めているとしています。
どこかで聞いたことがあると感じた方は、おそらくRoguePlanetを思い浮かべているのではないでしょうか。これはDefenderに存在した別の脆弱性で、Microsoftは6月16日にその存在を認め、7月8日にパッチを適用していました。
短い経緯
当時公開されていたRoguePlanetのエクスプロイトは、レースコンディション（競合状態）に依存すると説明されており、すべてのマシンで必ず同じように動作するとは限らないとされていました。この点が、脆弱性は懸念材料でありながらも、実用面ではある程度限定的だと見なされていた理由の一つです。
Microsoftが7月に実施した修正で、この問題は解決されているはずでした。しかし、セキュリティ修正が問題の根本にある脆弱性を必ずしも取り除くとは限りません。既知の攻撃経路を一つ塞いだだけで、後になって研究者が同じ結果に到達する別の経路を見つけ出すこともあるのです。
今回のケースはまさにそれに当てはまるようです。ShieldBreakは以前のRoguePlanet修正を回避すると報告されていることから、パッチバイパスとして説明されています。ただし、単に元の攻撃を繰り返すのではなく、異なる悪用手法を用いている点が特徴です。
8月に入り、同じ研究者がShieldBreakを公表し、これを受けてMicrosoftはCVE-2026-69414に関する新たな勧告を公開しました。
この勧告によると、問題はすでに公に開示されており、概念実証（PoC）用のエクスプロイトコードも存在するため、悪用される可能性は高いと考えられています。また、公式な修正プログラムはまだ提供されていないものの、Microsoftは現在対応を進めているとのことです。
安全を保つには
Microsoftが修正プログラムを公開するまでの間、最も重要な対策は、そもそも信頼できないコードをコンピュータ上で実行させないことです。ShieldBreakはローカルでの権限昇格の問題であるため、攻撃者はまずマシンへの何らかのアクセス権を得る必要があります。
現時点で入手できる最も信頼性の高い公開情報によれば、ShieldBreakが機能するにはMicrosoft Defenderが有効になっている必要があるようです。公開されているテスト結果では、Defenderが無効化されている場合や、別の製品がアクティブなアンチウイルスプロバイダーとして登録されている場合には、このエクスプロイトは成功しないことが示されています。
つまり狭い意味では、Defenderを無効化することでこの特定のShieldBreakの攻撃チェーンを止められるようです。しかし、これはほとんどの人にとって望ましい安全対策とは言えません。アンチウイルスを無効化すると重要な防御層が失われ、他の攻撃に対してコンピュータが無防備な状態になりかねないためです。
一般ユーザーにとって重要なのは、以下の点です。
- Microsoftのセキュリティ更新プログラムが公開され次第、速やかにインストールする。
- ダウンロードファイル、メールの添付ファイル、クラック版ソフトウェア、出所不明のサイトが提供する「修復」ツールには十分注意する。
- 重要なファイルは、PCに直接接続されていない場所にバックアップを保管する。
- 最新の状態に保たれたリアルタイム型のアンチマルウェアソリューションを利用し、コンピュータ上の脅威を検知・駆除する。
