史上最多となったPatch Tuesdayの発表から間もなく、腹を立てたセキュリティ研究者「Nightmare-Eclipse」がまたしてもWindowsのゼロデイエクスプロイトを公開しました。このエクスプロイトは権限昇格を可能にし、先月公開された別のWindowsエクスプロイトに対する修正パッチを回避するものです。
この研究者はChaotic Eclipse、MSNightmareといった別名でも知られ、X上のハンドルネームはInfinite Nightmareです。今回発表されたのは「ShieldCrash」というエクスプロイトで、本人によればCVE-2026-69414、通称「ShieldBreak」に対するパッチバイパスだといいます。ShieldBreakは、Windows Defenderに搭載されているMicrosoft Malware Protection Engineの権限昇格に関する脆弱性です。
Nightmare-Eclipseは8月のPatch TuesdayにShieldBreakエクスプロイトを公開しています。これは、この研究者が4月以降、毎月続けているWindows脆弱性エクスプロイト公開の一環です。Microsoftはその後この脆弱性にパッチを当てましたが、研究者は「適切に修正されていない」と主張しています。
「特定の条件下では、ShieldBreakが引き起こしたのとまったく同じ問題を、今なお引き起こすことが可能です」と、同氏はShieldCrashの詳細なGitHub投稿の「README」ファイルに記しています。「Microsoftはこの問題の再悪用を防ぐためにいくつかの修正を行いましたが、ShieldBreakがまだ悪用可能な箇所を見落としていました」
GitHub上で公開された概念実証(PoC)エクスプロイトは、エクスプロイトのGitHub説明文によれば「2026年9月時点でSYSTEM権限による任意ファイル読み取りを実証する」ものであり、サポート対象のすべてのWindowsバージョンに影響するとされています。
Dark Readingは、ShieldBreakエクスプロイトとその妥当性についてコメントを求めるためMicrosoftに連絡しましたが、記事執筆時点で同社からの返答はありませんでした。
Microsoftとの確執は続く
Nightmare-Eclipseは、Microsoftに対する個人的な対立姿勢を崩す気配を一切見せていません。この対立は4月、BlueHammerゼロデイエクスプロイトの公開に端を発しており、その背景には同社への脆弱性報告をめぐる対立がありました。
Microsoftは一時、この研究者に対して法的措置をちらつかせる姿勢を見せましたが、この対応はセキュリティコミュニティから概ね反感を買いました。それでもNightmare-Eclipseはひるむことなく、Microsoftの毎月のPatch Tuesdayに合わせて新たなゼロデイエクスプロイトを公開し続けています。この手法により、Microsoftが緊急パッチ(アウトオブバンドパッチ)を出さない限り、攻撃者には脆弱性を武器化するための数週間の猶予が生まれかねません。
「本来協力すべき二つの陣営がいがみ合っているのを見るのは、正直大嫌いです」と、Black Hills Information Securityのオーナーであるジョン・ストランド(John Strand)氏はDark Readingに語ります。「一方でこれはMicrosoft側の狭量さのようにも見えますし、MSNightmare側にも同じことが言えます。悲しいことに、私たちはエゴをぶつけ合うのではなく、協力し合うべきなのです」
Nightmare-Eclipseがこれまでに公開したエクスプロイトには、RoguePlanet、YellowKey、GreenPlasmaなどのほか、MiniPlasmaといったものがあります。この研究者は、Microsoftが以前のエクスプロイトに対してパッチを公開すると、その修正を打ち破る新たなエクスプロイトを追いかけて公開することがよくあります。たとえばShieldBreakは、2026年6月のPatch Tuesdayで公開された競合状態(レースコンディション)の脆弱性であるRoguePlanetに対するMicrosoftのパッチのバイパスでした。
今週公開されたエクスプロイト「ShieldCrash」もその一例であり、Microsoftによるこの攻撃経路への対処に繰り返し弱点があることを露呈しているようだと、サイバーセキュリティ脅威インテリジェンス企業SOCRadarのCISOであるエンサル・セケル(Ensar Seker)氏は指摘します。
「研究者たちがRoguePlanetやShieldBreakに対する立て続けの修正を回避できるという事実は、その根底にあるセキュリティ境界や攻撃対象領域そのものに、狭い範囲を対象とした場当たり的なパッチではなく、より包括的な再設計が必要であることを示唆しています」と、同氏はDark Readingに語ります。
ただし、Nightmare-Eclipseの最新エクスプロイトを検証したセケル氏によれば、「現時点では攻撃者に完全なSYSTEMシェルや任意の書き込み機能を与えるものではない」ものの、完全にパッチが適用されたWindowsシステムにおいて、SYSTEMのセキュリティコンテキスト下で任意ファイルの読み取りを行うことを攻撃者に許してしまうといいます。
ShieldCrashを軽視してはならない理由
この評価に反論するかのように、Nightmare-Eclipseは水曜日にX上の投稿で、このエクスプロイトは実際には「単なる任意ファイル読み取りではなく、完全な権限昇格である」と述べ、「自分より先に、誰かがこれを完全なエクスプロイトに仕上げられるか興味がある」と付け加えました。
セケル氏が主張するように、仮にこのエクスプロイトが任意ファイル読み取りのみを可能にするものだとしても、それは依然として脅威であると同氏は指摘します。「これにより、設定データ、認証情報、その他の機密情報など、一般ユーザーが本来アクセスできない極めて機微な情報を含むファイルが露出しかねません」とセケル氏は述べます。この特権を悪用したファイル漏えいは、結果として「より大規模な攻撃連鎖(攻撃チェーン)の重要な一部になり得る」といいます。
通常、組織はパッチを適用すれば安心だと感じるものですが、Nightmare-Eclipseとその一連のエクスプロイト公開活動は、とりわけWindowsユーザーにとってのこの安心感を一貫して揺るがそうとしています。とはいえ、セキュリティへの懸念だけを理由にWindows Defenderを無効化すべきではない、とセケル氏は述べます。
その代わりにセキュリティチームは、Microsoftのガイダンスやディフェンダーの脅威インテリジェンス更新を注意深く監視し、改ざん防止(タンパープロテクション)機能を有効化した上で、ローカル実行や管理者アクセスを制限し、Defender関連の仕組みを通じて保護対象ファイルにアクセスしようとする不審なプロセスがないか調査すべきだと、セケル氏は助言します。
また、今回のエクスプロイトコードが公開された以上、防御側は攻撃者がこれを利用して認証情報の窃取、持続的なアクセス(パーシステンス)の確立、あるいは完全な権限昇格といった悪意ある活動に及ぶことを想定すべきだと、セケル氏は述べます。「Microsoftは、今回の最新のPoCで示された特定の条件だけでなく」と同氏は付け加えます。「脆弱性クラス全体と、それに関連するコードパスについても評価すべきです」
