Microsoftは、Windowsの通知機能に不具合があり、セキュリティ製品が実際には稼働中で設定上も保護が有効になっている場合でも、「Microsoft Defenderウイルス対策がオフになっています」という誤った通知がユーザーに表示されることがあると認めました。
同社によると、この誤った警告は最新のMicrosoft Defenderウイルス対策の更新プログラムを適用した後に表示され始めたということです。この問題が注目される理由は、本来であれば即座の対応が必要な状態、つまりウイルス対策の無効化を示すメッセージだからです。
しかし今回のケースでは、Microsoftは「Defenderは引き続き正常に機能している」としています。この誤解を招く通知はWindowsの起動時に表示されることがあり、その後も断続的に再表示される可能性があります。つまり、実際には保護されているエンドポイントであっても、繰り返し警告が出続ける状態になり得るということです。
さらにMicrosoftによると、通知設定を無効にしてもこのアラートは表示され続けるといいます。これにより一般的な回避策が使えなくなり、管理者やエンドユーザーが引き続きこの警告を目にする可能性が高まっています。
Microsoftのアドバイザリではこの問題を「確認済み」に分類しています。このアドバイザリは太平洋時間8月28日15時34分に公開され、同日16時02分（太平洋時間）に最終更新されました。ステータス履歴には原因となった更新プログラムの記載はありません。
対象範囲は、最新のDefender更新プログラムを適用してMicrosoft Defenderウイルス対策を実行しているサポート対象のクライアント版・サーバー版のWindowsに及びます。
影響を受けるクライアント版には、Windows 11のバージョン26H1、25H2、24H2、23H2、Windows 10のバージョン22H2および21H2、さらにWindows 10 Enterprise LTSC 2019および2016が含まれます。サーバー版ではWindows Server 2025、2022、2019、2016、2012 R2、2012が対象となります。
セキュリティチームにとっては、インターフェース上の誤った警告と実際のDefender障害とを区別することが重要です。
アドバイザリでは、保護機能とその表示設定はいずれも有効なままである可能性があると明言しており、このアラートだけを根拠にエンドポイントのマルウェア対策が機能不全に陥ったと判断すべきではないとしています。
組織は、保護設定を変更したりインシデント対応をエスカレーションしたりする前に、確立されたエンドポイント管理・監視プロセスを通じてDefenderの稼働状況を確認する必要があります。
この不具合は複数世代にわたるWindowsおよびWindows Serverのリリースに影響するため、Defenderの更新プログラム適用後、混在環境ではヘルプデスクへの報告が錯綜し、混乱を招く可能性があります。
通知を無効にしても警告が消えないという点は、特に共有システムやサーバーにおいて、繰り返し表示されるポップアップが手動調査を促すことになり、トリアージ作業をさらに複雑にする恐れがあります。
Microsoftは現時点で緩和策やロールバック手順、修正済みのDefender更新プログラムを公開していません。同社は今後のMicrosoft Defenderウイルス対策の更新プログラムで解決策を提供する予定であり、詳細が判明次第改めて情報を公開するとしています。
それまでの間、管理者は製品自体が正常に稼働していることを確認済みの状態と、通知そのものを切り分けて考え、この挙動をサポートチーム向けに記録し、このアラートを保護機能喪失の証拠として扱わないよう注意する必要があります。
Microsoftは告知の中で、対象となる具体的なDefenderの更新バージョンを特定しておらず、修正がいつ提供されるかについても言及していません。また、顧客に対して直ちに是正措置を取るよう求めてもいません。企業は今後提供される更新プログラムの動向を注視し、公開され次第、通常の更新管理プロセスを通じて適用することが推奨されます。
不審な挙動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査プロセスを強化する
翻訳元: https://cyberpress.org/microsoft-confirms-windows-devices/
