Nightmare Eclipseとして知られるセキュリティ研究者が、Microsoftの過去最多を更新した2026年9月のパッチ公開の直後に、Microsoft Defenderの新たなゼロデイ攻撃コードを公開しました。
「ShieldCrash」と名付けられたこの攻撃コードは、完全にパッチ適用済みのWindowsシステムを標的とし、権限昇格を狙うものです。
Nightmare Eclipse(Chaotic Eclipse、Infinite Nightmare、MSNightmareとしても知られる人物)によると、この概念実証(PoC)コードはSystem権限による任意ファイル読み取りを実演するものだといいます。
ただし、この根本的な脆弱性を悪用すればSystem権限を完全に奪取でき、攻撃者はSAMデータベースをダンプできるようになると同研究者は述べています。
Nightmare Eclipseはまた、この最新のゼロデイが、2026年8月のPatch Tuesdayで公開されたMicrosoft Defenderの権限昇格エクスプロイト「ShieldBreak」のバイパスに当たると指摘しています。
そしてShieldBreak自体も、2026年6月のPatch Tuesdayでゼロデイとして公開された競合状態(レースコンディション)の脆弱性「RoguePlanet」に対するMicrosoftのパッチを回避するために公開されたものでした。
Microsoftは7月19日にRoguePlanetにパッチを適用(CVE-2026-50656)しました。ShieldBreakについては8月14日に認知したことを公表し、9月3日に修正版をリリースしています。この脆弱性はCVE-2026-69414として追跡されています。
Nightmare Eclipseは「MicrosoftによるShieldBreak向けのパッチは不完全であり、このセキュリティ上の欠陥は依然として悪用可能だ」と主張しており、その証拠としてShieldCrashを公開しました。
SecurityWeekは今回の新たなゼロデイ攻撃コードについてMicrosoftにコメントを求めており、同社から回答があり次第本記事を更新します。
SOCRadarの最高情報セキュリティ責任者(CISO)であるEnsar Seker氏によると、ShieldCrashが懸念を招く主な理由は、根本的な脆弱性の攻撃経路に対するMicrosoftのパッチ適用の弱点を露呈させている点にあるといいます。
「研究者らがRoguePlanetとShieldBreakに対する一連の修正を次々と回避できているという事実は、対象となっているセキュリティ境界や攻撃対象領域そのものについて、的を絞った追加パッチではなく、より包括的な再設計が必要であることを示唆しています」とSeker氏は述べています。
同氏はセキュリティチームに対し、MicrosoftのガイダンスおよびDefenderの脅威インテリジェンス更新情報を注視し、改ざん防止機能を有効化するとともに、管理者アクセスやローカルでの実行経路を制限し、Defender関連の仕組みに紐づく不審なプロセス動作がないか監視するよう勧めています。
「Microsoftは、この最新のPoCで実演された特定の条件だけでなく、脆弱性クラス全体と関連するコードパスについても包括的に評価すべきです」とSeker氏は付け加えました。
翻訳元: https://www.securityweek.com/new-shieldcrash-zero-day-exploit-targets-microsoft-defender/
