nexsight cyber intelligence / signal online wire desk · issue 317
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITIES / PRIVILEGE ESCALATION

Microsoft Defenderに特権昇格の脆弱性CVE-2026-33825「BlueHammer」— 定義更新時の処理不備で管理者権限奪取、PoC公開で対策呼びかけ

Microsoft Defenderに定義更新時のファイル操作不備に起因する特権昇格の脆弱性CVE-2026-33825（通称BlueHammer）が報告されている。Microsoftは2026年4月のセキュリティ更新で修正しており、Defender 4.18.26030.3011未満が影響を受ける。既にエクスプロイトコード「BlueHammer」が公開されており、攻撃者は管理者権限の取得や認証情報の窃取が可能になる。

脆弱性 NEXSIGHT CYBER WIRE 編集部 4–5 min read
攻撃手法

Microsoft Defenderに、特権昇格につながる脆弱性CVE-2026-33825（通称 BlueHammer）が報告されている。Microsoftは2026年4月のセキュリティ更新プログラムで修正しており、影響を受けるバージョンの利用者に更新を呼びかけている。既にエクスプロイトコードが公開されている。

本件は、国内のセキュリティ情報サイトScanNetSecurityが2026年8月27日にScan Tech Reportとして取り上げ、株式会社ラック デジタルペンテスト部が分析を公開したことで注目が集まっている。一次情報であるMicrosoftのアドバイザリとNVDの情報を基に整理する。

脆弱性の概要 — 定義更新時のファイル操作不備

CVE-2026-33825は、Microsoft Defenderの定義ファイルを更新する際の処理に存在する論理的な不具合に起因する。CVSS v3.1の基本値は7.8（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）と評価されている。

Microsoftによると、影響を受けるのはMicrosoft Defender バージョン4.18.26030.3011未満だ。同バージョン未満のDefenderが稼働するWindows環境で、既に侵入に成功した攻撃者がこの脆弱性を悪用すると、管理者権限の奪取が可能になる。

Microsoftは2026年4月分のセキュリティ更新プログラムで修正版を公開した。修正後のバージョンは4.18.26030.3011以降だ。NVD（National Vulnerability Database）にも同CVEが登録されている。

悪用の流れ — Volume Shadow Copyからパスワードハッシュを窃取

Scan Tech Reportの解説によると、攻撃の流れは次のとおりだ。

  1. 攻撃者はDefenderの更新処理に割り込む。
  2. DefenderにEICARなどのファイルを検知させ、Volume Shadow Copy（VSS）の作成を促す。
  3. 作成されたVolume Shadow Copyからファイルを読み取れる状態にし、OS内に存在するアカウントのパスワードハッシュ値を取得する。
  4. 取得したハッシュを用いて管理者権限の奪取につなげる。

Microsoft Defenderが稼働していない環境では悪用できない脆弱性だが、他社製セキュリティ製品の導入などでDefenderを無効化していない標準的なWindows環境では影響を受ける可能性があるとScan Tech Reportは指摘している。

エクスプロイト「BlueHammer」が公開済み

本脆弱性を悪用するエクスプロイトコード**「BlueHammer」が、開発者プラットフォームProject NightCrawler**上で公開されている。リポジトリ「NightmareEclipse/BlueHammer」では、管理者権限での認証情報抽出を試みるPoC（概念実証）コードがC/C++などで公開されている。Huntress社の分析ブログ「Nightmare Eclipse」でも関連する侵入手法が報告されている。

Scan Tech Reportは、BlueHammerという名称で世界的に注目度が高い脆弱性であり、攻撃者に悪用される可能性が高いと評価している。

対策 — 2026年4月の更新プログラムを適用する

Microsoftは、CVE-2026-33825の対策として2026年4月分のセキュリティ更新プログラムを適用し、Microsoft Defenderのバージョンを4.18.26030.3011以降に更新することを推奨している。

同社はMSRC（Microsoft Security Response Center）のアドバイザリで、影響を受ける製品と修正版の情報を公開している。NVDでも同CVEの詳細とCVSS評価を確認できる。

更新プログラムの適用により、定義更新時のファイル操作不備は解消される。Microsoft Defenderを標準で利用している組織や個人は、Defenderのバージョンを確認し、未適用の場合は速やかに更新することが求められるとMicrosoftは呼びかけている。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。