Microsoft Defender未修正ゼロデイ「ShieldCrash」 — SYSTEM権限で任意ファイル読み取り、全Windowsが影響と研究者がPoC公開

要点

• 匿名の研究者 Nightmare Eclipse（MSNightmare） が2026年9月9日、Microsoft Defender の権限昇格欠陥 ShieldBreak（CVE-2026-69414） の修正を迂回する新たなゼロデイ ShieldCrash の概念実証（PoC）をGitHubで公開した。
• 研究者によると、ShieldCrashは2026年9月の月例更新を適用した状態でも、すべてのサポート対象WindowsでSYSTEM権限での任意ファイル読み取りが可能だという。
• Microsoftは同日までに公式な修正や声明を出しておらず、BleepingComputerの取材にも回答していない。現状は「未修正のゼロデイ」として扱われている。

経緯 — ShieldBreakの修正を迂回

Nightmare Eclipseは、Microsoftが2026年8月に認識し9月のPatch Tuesdayで修正した ShieldBreak（CVE-2026-69414） について、「特定条件下で同じ問題が依然として再現する」と主張している。同氏はGitHubのREADMEで次のように述べている。

Microsoft has failed to properly patch ShieldBreak CVE-2026-69414, under specific conditions it is still possible to trigger the exact same problem that was caused by ShieldBreak. While Microsoft fixed several things to prevent re-exploiting the issue, they missed a spot where ShieldBreak can still be exploited.

同氏はPoCについて 「This PoC demonstrates an arbitrary file read as SYSTEM with September 2026, all supported windows versions are affected」 と説明し、SYSTEM権限での任意ファイル読み取りを実証するスケルトン（骨格）段階だとしている。

BleepingComputerによると、ShieldCrashはShieldBreakのバイパスと位置づけられ、ShieldBreak自体が6月に開示された RoguePlanet、さらにその前身の欠陥 LegacyHive などを迂回する形で連鎖してきたDefenderの一連の権限昇格問題の延長線上にある。

何が起きるのか — 影響範囲と制限

• 影響を受ける製品: Microsoft Malware Protection Engine（Microsoft Defender）を搭載するWindows。研究者は Windows 10、Windows 11、Windows Serverの全サポート対象バージョン が影響を受けるとしている。
• 得られる権限: 最上位の SYSTEM としてファイルを取得できる。SYSTEMはOSの中核権限で、通常の管理者よりも高い権限を持つ。
• 現時点の制限: 今回公開されたPoCは 任意ファイルの読み取り を実証するもので、書き込みは伴わない と研究者自身が説明している。ただし同氏は「後に完全なSYSTEM昇格PoCへ改良する可能性がある」とも述べている。
• CVSS: NVDに登録されたCVE-2026-69414はCVSS 3.1で 7.8（HIGH）、攻撃条件は AV:L / AC:L / PR:L / UI:N と評価されている。ShieldCrashは同一CVEの修正不備を突くものとされる。

研究者の主張とMicrosoftの対応

Nightmare Eclipseは、Microsoftのバグバウンティや開示対応への不満を理由に、2026年4月以降、ShieldBreak、RoguePlanet、LegacyHive、BlueHammer、RedSun、YellowKey、GreenPlasma、MiniPlasma、UnDefend などDefenderやBitLocker関連の複数ゼロデイを連続して公開してきたとされる。

BleepingComputerによると、Microsoftはこのうち ShieldBreak、RoguePlanet、YellowKey、GreenPlasma、MiniPlasma を修正したが、残る複数の欠陥は未修正のままだという。同社はShieldCrashについてMicrosoftにコメントを求めたが、記事執筆時点で回答は得られていない。

Microsoftが8月14日に公開したMSRCのアドバイザリCVE-2026-69414は、表題を 「Microsoft is aware of an elevation of privilege in the Microsoft Malware Protection Engine in Microsoft Defender publicly referred to as ‘ShieldBreak’」 とし、影響バージョンを 1.1.26080.3 未満 と記載している。ShieldCrashはこの修正後も残る迂回経路を突くものと研究者は主張している。

日本の利用者への影響

Microsoft DefenderはWindowsに標準搭載され、日本の企業・個人の大多数が利用している。SYSTEMでの任意ファイル読み取りが成立すれば、攻撃者が初期侵入後に防護を回避し、資格情報や機密ファイルを窃取する足がかりになり得る。特にEDRやウイルス対策をDefenderのみに依存している環境では影響が大きい。

現時点で確認されている事実と未確認事項

• 確認済み: PoCがGitHubで公開されたこと、研究者が9月更新適用済みで再現すると主張していること、CVE-2026-69414がNVDとMSRCに登録されていること。
• 未確認: 実際の悪用事例の有無、Microsoftによる公式な再現確認や修正予定。読者は一次情報の更新を注視する必要がある。

出典:

• MSNightmare — ShieldCrash（GitHub） https://github.com/MSNightmare/ShieldCrash
• Microsoft MSRC — CVE-2026-69414 https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-69414
• NVD — CVE-2026-69414 https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-69414