セキュリティ
バイパスのバイパスのそのまたバイパス
ゼロデイ研究者のNightmare Eclipse(別名MSNightmare)は、ShieldCrashと名付けたゼロデイに対するMicrosoft Defenderの概念実証(PoC)エクスプロイトを新たに公開しました。同氏によれば、これを使えば以前のShieldBreakパッチをバイパスし、SYSTEM権限でファイルを読み取ることが可能になるとしています。
「後で本格的なSYSTEM PoCに作り直すかもしれないが、今はちょっと面倒くさいので骨組みだけのPoCを公開しておく」と、Microsoftにとって多作なバグハンターであり悩みの種でもあるこの人物は、最新のゼロデイエクスプロイトのREADMEで述べています。
Nightmareのゼロデイ公開ペースはいつも通りで、今回もMicrosoftが最新のPatch Tuesdayセキュリティ更新プログラムをリリースした直後にShieldCrashを公開しました。Nightmareによると、このエクスプロイトは9月のパッチを適用済みのWindowsシステムでも動作するとのことです。
ShieldCrashは、以前公開されたDefenderの権限昇格ゼロデイであるShieldBreak(CVE-2026-69414)に対するバイパスだと説明されています。このShieldBreak自体も、Nightmare Eclipseによる別のゼロデイRoguePlanet(CVE-2026-50656)に対する別のパッチをバイパスするものでした。
Microsoftは先週ShieldBreakに、7月にはRoguePlanetにそれぞれパッチを適用しています。いずれも、完全にパッチ適用済みのWindows 10、Windows 11、Windows Serverのシステムで攻撃者がSYSTEM権限を取得できてしまう脆弱性でした。
最新のバイパスであるShieldCrashは、研究者によれば、SYSTEM権限での任意のファイル読み取りを可能にするものの、任意の書き込みや完全なSYSTEMシェルの取得はできないとのことです。
Microsoftは、ShieldCrashへのパッチ適用予定を含むThe Registerからの質問に対し、即座には回答しませんでした。続報が入り次第、本記事を更新します。
このバグハンターは常習的にMicrosoftのエクスプロイトを発見し公開してきました。ShieldCrashはNightmareにとって11件目のMicrosoft向けゼロデイとなりますが、同氏はMicrosoftに対して個人的な確執があることを明言しつつ、最近では他のセキュリティベンダーの製品にも手を広げています。
先週には、CrowdStrikeのFalconエンドポイントセキュリティプラットフォームに影響するFalconFlankと呼ばれるゼロデイ脆弱性を公開しました。こちらもWindowsが絡んでおり、この権限昇格の脆弱性は、CrowdStrike FalconにおけるMicrosoft Officeの悪意あるマクロ修復機能を悪用するものです。
セキュリティ研究者のKevin Beaumont氏は、Nightmareがここ数週間で公開した他の複数のエクスプロイトとあわせて、FalconFlankのエクスプロイトが実際に機能することを確認しています。これらには、Kasperskyのエンドポイント向けアンチウイルス製品における権限昇格の脆弱性で既に修正済みのHardBreacher、そしてGen DigitalのAvastアンチウイルスソフトウェアにおける権限昇格の脆弱性であるPrettyPragueが含まれます。®
