ShieldCrashと名付けられた新たに公表された概念実証(PoC)は、Microsoft Defenderを通じてSYSTEM権限レベルで動作しながら任意のファイル読み取りを可能にすると報告されています。
この問題はShieldBreakに対する修正が不完全だったことに起因すると説明されており、CVE-2026-69414として追跡されています。これにより、Microsoftが以前に行った修正作業にもかかわらず、攻撃者が依然として機密ファイルにアクセスできる可能性があるとして懸念が高まっています。
MSNightmareによると、Microsoftは元のShieldBreak脆弱性に関連する複数のコンポーネントを修正しました。しかし特定の条件下では、残存するコードパスが同種の問題を再び引き起こす可能性があると報告されています。
新たに命名されたShieldCrashという手法は、当初のパッチで導入された安全対策を回避し、Defenderのセキュリティコンテキストにおける任意のファイル読み取り機能を再び得るとされています。
公開されているスケルトンPoCは、コアとなるオペレーティングシステムサービスやセキュリティ製品が使用する強い権限を持つWindowsアカウントであるNT AUTHORITY\SYSTEMとして、攻撃者が選んだファイルを読み取れることを実証していると報告されています。
任意のファイル読み取りの脆弱性は、それ自体がSYSTEM権限での完全なコード実行を自動的にもたらすわけではありません。しかしこの能力は、後続の攻撃に必要な労力を大幅に減らす可能性があります。
例えば攻撃者は、この特権的なファイルアクセスを利用して認証情報を取得したり、鍵を復元したり、インストール済みソフトウェアを特定したり、ローカルのセキュリティ制御を発見したり、権限昇格や横展開に役立つ情報を収集したりする可能性があります。
この報告書では、ShieldCrashはDefenderにおける全く無関係な欠陥ではなく、パッチの回避が不完全であったケースと位置づけられています。
パッチ回避のケースでは、元々の脆弱な挙動は一箇所で対処されるものの、同等のロジック、エッジケース、代替インターフェース、あるいは見落とされた実行パスが依然として到達可能な状態で残ることがあります。
この種の脆弱性は、エンドポイントセキュリティソフトウェアにおいて特に重大な意味を持ちます。Microsoft Defenderは高い権限で動作し、ファイル、プロセス、アーカイブ、スクリプト、クラウド配信型の保護コンポーネント、スキャンエンジンと深く関わっています。
信頼できない入力がDefenderのファイル処理の挙動に影響を与えられるような欠陥があれば、権限の低い攻撃者に特権的なリソースが晒される可能性があります。
MSNightmareの発表によれば、このPoCは2026年9月のWindowsセキュリティ更新のレベルに対してテストされており、サポート対象の全てのWindowsバージョンが影響を受けるとしています。
各組織は、CVE-2026-69414または新たに割り当てられる識別子に関連した対応がないか、MicrosoftのSecurity Update GuideおよびDefenderのプラットフォーム更新チャンネルを注視すべきです。
セキュリティチームは、Defender関連の異常な活動、保護対象ファイルへの不審なアクセス試行、Defenderのディレクトリやサービスとやり取りする予期しないプロセスがないか、エンドポイントのテレメトリを確認することも重要です。
防御側は、エンドポイントが最新のWindowsおよびMicrosoft Defenderプラットフォームの更新を速やかに受け取れるようにし、最小権限の原則を徹底し、ローカルでの対話的アクセスを制限し、認証情報の窃取や機密ファイルの収集を狙う挙動を監視することで、潜在的な影響を軽減できます。
16,000以上の組織からの最新インテリジェンスにより、脅威検出率を58%向上。TIフィードを統合することで、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/new-windows-defender-shieldcrash-0-day/
