nexsight cyber intelligence / signal online wire desk · issue 631
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITY / VULNERABLE DRIVER

AOMEI Backupperのカーネルドライバ「amwrtdrv.sys」に権限昇格の脆弱性 — CERT/CCが注意喚起、Secure Boot無効のPCでは攻撃者にEDRを回避されUEFI段階でコードを実行されるおそれ

米カーネギーメロン大学のCERT/CCは2026年9月10日、Windows用バックアップソフト「AOMEI Backupper」に同梱されるカーネルドライバamwrtdrv.sysの権限昇格脆弱性CVE-2026-12780を公表した。ドライバが作成するデバイスオブジェクトに適切なアクセス制御がないため、一般権限のローカル利用者が物理ディスクへ任意に書き込める。Secure Bootが無効な環境では、OS起動前のUEFI段階でコードを実行でき、HVCIやEDR、Microsoft Defenderを回避できるとCERT/CCは説明している。CERT/CCは、修正済みのドライバを含むバージョンへの更新や、更新できない場合のアンインストールなどを案内している。

脆弱性 NEXSIGHT CYBER WIRE 編集部 5–6 min read
攻撃手法
ソフトウェア

要点

  • 米カーネギーメロン大学のCERT/CC（CERT Coordination Center）は2026年9月10日、Windows用バックアップソフト**「AOMEI Backupper」に同梱されるカーネルドライバamwrtdrv.sysの権限昇格脆弱性を公表した。識別子はCVE-2026-12780**、分類は**CWE-732（重要資源に対する不適切な権限設定）**である。
  • CERT/CCの説明によると、このドライバはセキュリティ記述子を付けずに「誰からでもアクセスできる」デバイスオブジェクトを作成する。そのため、一般利用者の権限で動作するローカルのプロセスが物理ディスクへ自由に書き込みを行える。
  • Secure Bootが無効なPCでは、攻撃者はOSの起動前（UEFIの起動フェーズ）に自らのコードを実行できる。CERT/CCは、これによりHVCI（Hyper-V Code Integrity）やEDR、Microsoft Defender、Hyper-Vの分離といったOS側の保護を回避できると説明している。BitLockerをTPMのみで構成しているPCでは、起動前に保護鍵（VMK）を窃取されるevil maid攻撃につながるおそれがある。
  • CERT/CCは、修正済みのamwrtdrv.sysドライバを含むバージョンへの更新を推奨している。直ちに更新できない場合は、AOMEI Backupperのアンインストールや、amwrtdrv.sysサービスの開始方法をAUTO_STARTから無効へ変更することを検討するよう案内している。

脆弱性の内容 — ドライバのデバイスオブジェクトにアクセス制御がない

CERT/CCの脆弱性ノート「VU#687587」とCVEレコードの記載は次のとおりである。

CVE-2026-12780は、amwrtdrv.sysカーネルドライバが作成するデバイスオブジェクトにセキュリティ記述子（誰がアクセスできるかを定義する情報）が設定されていない問題である。CERT/CCは「任意のユーザーモードのプロセスがデバイスを開き、無制限の書き込み要求を発行できる」と説明している。

攻撃者は、一般利用者の権限で**\\.\mwrtdrv\DISK0デバイスを開き、細工した書き込みコマンドを任意の物理ディスクへ送ることで、この脆弱性を悪用できる。悪用には対象PC上で一般ユーザーとしてコードを実行できる状態**が必要であり、ネットワーク越しに直接悪用できる脆弱性ではない。

CERT/CCは、このドライバがAOMEI Backupper 8.4.0に同梱されていると記載している。CVEレコード（VulDBが採番）は8.0から8.3.0までを影響範囲としており、両者の記載は一致していない。

Secure Bootが無効なPCでは起動前のコード実行に至る

CERT/CCによると、攻撃者は物理ディスクへ直接書き込めることを利用し、ディスクの先頭付近にある未使用領域（パーティション前のギャップ、LBA 34〜2047）へ悪性のUEFIペイロードを書き込み、GPT（パーティションテーブル）を書き換えて、そのペイロードをEFIシステムパーティションとして参照させる。

このペイロードは、OSのセキュリティ機構が読み込まれる前のUEFIの起動デバイス選択（BDS）フェーズで実行される。CERT/CCは、これによりカーネルモードの保護機能であるHVCI、EDR製品、Windows Defender、Hyper-Vの分離が回避されると説明している。

さらに、BitLockerをTPMのみで保護しているPCでは、起動前の段階でボリュームマスターキー（VMK）の情報を窃取できるとされ、いわゆるevil maid攻撃（端末に物理的に触れられる状況での攻撃）に利用され得る。

CERT/CCが挙げる動作条件は、ローカルでの一般権限のコード実行と、Secure Bootが無効であることである。Secure Bootを有効にすることは多層防御として有効だとしつつ、**「ドライバ自体の脆弱性を解消するものではない」**と明記している。

影響を受けるバージョンとベンダーの対応状況

項目 一次情報の記載
脆弱性識別子 CVE-2026-12780（CWE-732）
影響バージョン CERT/CC: AOMEI Backupper 8.4.0に同梱のamwrtdrv.sys / CVEレコード: 8.0〜8.3.0
悪用条件 対象PCでの一般権限のローカルコード実行、Secure Boot無効
公開日 CERT/CCの脆弱性ノート: 2026年9月10日

CVEレコード（VulDB）は、CVSS v3.1の基本値を7.8（HIGH）、CVSS v4.0を8.5と評価している。CERT/CCのノートには独自のCVSS値は記載されていない。

ベンダーの対応状況について、CERT/CCのノートはAOMEI TechnologyとMicrosoft、Microsoft Vulnerability Researchの3者に通知したと記載し、いずれについても**「ベンダーからの声明は得ていない」**としている（2026年9月10日時点）。CVEレコード（VulDB）には、開示に際してベンダーから応答がなかったとの記載がある。

一方、CERT/CCのノートの「Solution」欄には、**「AOMEI International Network Limitedが提供する修正（パッチ）についてはVendor Information欄を参照するよう」に加えて、「修正済みのamwrtdrv.sysドライバを含むバージョンへ更新するよう」**利用者に推奨する記載がある。ベンダー声明が「得ていない」とされている点と、修正が提供されているとする記載が併存しているため、導入前にベンダーの最新情報を確認することが望ましい。

なお、CVEレコードにはエクスプロイト（実証コード）が公開されているとの記載がある。CERT/CCのノートにもCVEレコードにも、野外で実際に悪用されたという記載はない。米CISAの「既知の悪用脆弱性（KEV）」カタログ（2026年9月11日版）にも、CVE-2026-12780は登録されていない。

日本では、JPCERT/CCとIPAが2026年9月11日に脆弱性情報「JVNVU#95258183」を公開し、CERT/CCのアドバイザリを参照するよう案内している。

CERT/CCが示す対応

CERT/CCが公開している対応は次のとおりである。

  • 修正済みのamwrtdrv.sysドライバを含むバージョンへ更新する（同ノートは、適切なアクセス制御が実装された修正版の適用を推奨している）。
  • 直ちに更新できない場合は、AOMEI Backupperのアンインストールを検討する。
  • 別の手段として、amwrtdrv.sysサービスの開始方法（start type）をAUTO_STARTから無効へ変更する。
  • UEFIファームウェアの設定でSecure Bootを有効にする。これは多層防御として有効だが、ドライバの脆弱性そのものを解消するものではないとCERT/CCは注記している。

日本の利用者への影響

AOMEI Backupperは、個人や法人がWindows PCのシステムイメージ作成やディスクのクローン、ファイルのバックアップに使うソフトウェアである。CERT/CCは、企業のバックアップ運用に組み込む使い方と、エンドユーザーが直接使う使い方の両方があると説明している。バックアップ目的で常時インストールしているPCでは、ドライバも常に読み込まれた状態になる点に注意が必要だ。

今回の脆弱性の前提は、対象PC上で一般ユーザーとしてコードを実行できる状態である。CERT/CCは、この状態からOS側の保護機構を回避して起動前のコード実行に至る点を問題としている。AOMEI Backupperを導入しているPCでは、稼働中のバージョンを確認し、CERT/CCが推奨する更新やサービス無効化などの対応を検討することが求められる。あわせて、Secure Bootが無効になっていないかを確認し、有効化しておくことが多層防御として有効だとCERT/CCは説明している。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。