Microsoftは、Microsoft Defenderのマルウェア対策エンジンに存在する権限昇格脆弱性に対処するセキュリティ更新プログラムに取り組んでいることを明らかにした。この脆弱性は、ShieldBreakという名称で公に明らかにされた。同社はこの脆弱性をCVE-2026-69414として登録したが、修正プログラムのリリース時期はまだ明らかにしていない。
同社が対応に乗り出したのは、Nightmare Eclipseという名で知られるセキュリティ研究者が、2026年8月の「パッチチューズデー」更新後に、脆弱性の詳細と悪用の概念実証（PoC）を公開したためだ。Microsoftは、この報告を追跡し、その正当性と適用可能性を調査していると述べ、品質の高いセキュリティ更新プログラムの提供に取り組んでいること、また更新プログラムが利用可能になった時点でCVEレコードに必要な情報を追加することを確認した。
ShieldBreakの仕組み
研究者はこの脆弱性について、RoguePlanetとして知られ、CVE-2026-50656として登録された、Defenderの別の脆弱性に対する修正を回避するものだと説明した。研究者によると、限定的な権限を持つローカルの攻撃者は、この悪用手法を使ってSYSTEM権限に到達できる。これはWindowsにおける最上位クラスの権限の一つだ。
研究者は、概念実証をCanaryチャネルを含むWindows 11 25H2の最新ビルドとWindows Server 2025でテストし、自身の説明によれば、完全な成功率を達成したと述べた。また、Windows 10および関連するサーバーエディションは概念実証でサポートされていないものの、依然として脆弱性の影響を受けると指摘した。脆弱性アナリストのWill Dormannも悪用が機能すると確認し、攻撃者が権限を昇格させるにはMicrosoft Defenderが有効になっていなければならないと説明した。
組織にとって実際に何が変わるのか
現在得られている情報は、ShieldBreak単独でリモートアクセスを可能にすることを示していない。説明されているシナリオは、ローカルアクセスと限定的な初期権限を持つ攻撃者から始まる。しかし、権限昇格に成功すれば、この限定的なアクセスが、保護され更新済みの端末に対するSYSTEM権限での制御へと変わる可能性があるため、Windows管理チームと企業セキュリティ担当者にとって修正プログラムの提供は重要になる。
現時点で、更新プログラムの発表済みスケジュールや、研究者が脆弱性を発見したことについてのMicrosoftによる確認はない。そのため、同社が更新プログラムと最終的な情報を公開するまでは、運用上の詳細は研究者が公開した内容とアナリストによる初期評価に依存する。
脆弱性開示をめぐる対立
Nightmare Eclipseは、脆弱性の開示慣行とバグ報奨金プログラムをめぐる同社との継続的な対立の一環として、Microsoftへの事前通知なしにShieldBreakを公開した。複数の脆弱性について概念実証を公開した後、Microsoftは、顧客に実際の損害を与える悪意ある活動と同社が表現した行為に対して法的措置を取ると警告した。これは多くの人々から研究者に向けた脅迫と受け止められた。
2026年4月以降、研究者はDefender、BitLocker、その他のWindowsコンポーネントを標的とするゼロデイ脆弱性を公開したとされている。その中には、LegacyHive、RoguePlanet、BlueHammer、RedSun、YellowKey、GreenPlasma、MiniPlasma、UnDefendが含まれる。Microsoftは2026年6月の更新プログラムでYellowKey、GreenPlasma、MiniPlasmaに対処し、続いて7月にRoguePlanetに対処した一方、その他の脆弱性は正式な修正を待っている。