Windows Defender の脆弱性 CVE-2026-69414：MSNightmare が ShieldCrash PoC を公開

Windows Defender ShieldCrash 0-Day Lets Attackers Read Arbitrary Files as SYSTEM

2026/09/09 gbhackers — 新たに公開された ShieldCrash と呼ばれる概念実証 (PoC) により、Microsoft Defender に存在する未修正の問題が明らかにされ、ローカル攻撃者が SYSTEM のコンテキストで任意のファイルを読み取る可能性が懸念されている。この情報が、MSNightmare として知られる研究者により公開されたのは、Microsoft が Malware Protection Engine の特権昇格の脆弱性 CVE-2026-69414 (ShieldBreak) を修正した直後のことだった。

Windows Defender の ShieldCrash ゼロデイ

ShieldBreak に対するパッチにより複数の悪用経路が修正されたが、このセキュリティ問題の根本的な原因は解消されていなかったと、研究者 MSNightmare は指摘している。公開された実証コードは完全なエクスプロイトではなく基本的な PoC であり、Windows のサービスが通常使用する SYSTEM 権限で任意に選択したファイルを読み取れることを示すものである。MSNightmare は、2026年9月のアップデートが適用された後でも、サポート対象の Windows バージョンに問題が残っていると主張している。

SYSTEM レベルで任意のファイルを読み取れる場合、コードを実行できなくても重大な運用上のリスクにつながる可能性があり、通常のユーザーがアクセスできない認証情報／アプリケーション・シークレット／レジストリ・ハイブなどのファイルが漏洩する恐れがある。

このアクセスを達成した攻撃者は、ホスト内部の把握や高価値標的の特定に加えて、権限昇格や横展開に必要な情報を収集し得る。さらに、防御側と攻撃者により公開された PoC が調査され、Defender の処理経路に新たな悪用が見つかる可能性もある。

現時点の ShieldCrash は、実環境で悪用が確認されたものではなく、パッチ回避を可能にする PoC であるという主張として扱うべきである。現在も分析が続いているが、この情報が公開された時点で、Microsoft は ShieldCrash に対するパッチ／緩和策を提供していなかった。

この区別が重要なのは、CVE-2026-69414 に対する既存のエンジン・アップデートにより、元のShieldBreak の悪用経路は塞がれている可能性があるからだ。その一方で、PoC で実証されたすべての動作に対処できていると、ユーザー組織は考えるべきではない。

CrowdStrike も研究者による主張を引き続き検証しており、調査結果の公開時点では緩和策が存在していないと報告しているため、Microsoft が評価を完了するまで、ローカルでの権限悪用を軽減するための多層防御を実施する必要がある。具体的には、対話型アクセスの制限／ローカル管理者権限の削除／アプリケーション制御の適用／Defender のプロセスや保護されたファイルへの異常なアクセス活動の調査が含まれる。

また、管理者に求められるのは、Microsoft Malware Protection Engine におけるセキュリティ・インテリジェンスのアップデートが有効であることを確認するとともに、エンドポイントがアップデートを自動的に受信していることを確認することである。

CVE-2026-69414 に対する ShieldBreak の修正は、Malware Protection Engine のバージョン 1.1.26080.3 に含まれていたと、MSNightmare は報告している。さらに、セキュリティチームは、Microsoft Security Response Center のアドバイザリ、Defender の稼働状態に関するテレメトリ、エンドポイントでの検知情報を監視し、追加のガイダンスやエンジン・アップデートを確認する必要がある。

インシデント対応担当者は、SYSTEM レベルでのファイル読み取りが侵害後に密かに行われる偵察を容易にする可能性があるため、エンドポイントのテレメトリを保存する必要がある。

今回の情報公開が浮き彫りにしているのは、繰り返し発生する運用上のリスクであり、迅速なパッチ適用が重要であるのと同様に、異なる悪用条件に対しても修正が有効であることを検証すべきである。

Microsoft 社のセキュリティ機能である Windows Defender の脆弱性 CVE-2026-69414 において、過去の修正内容を回避して権限昇格を可能にする懸念が浮き彫りとなりました。権限を持つローカル攻撃者によって SYSTEM 権限でファイルが閲覧され、機密情報の漏洩／不正な偵察行動／横展開の足がかり形成といった影響を及ぼす恐れがあります。対応策として、自動アップデート機能の維持／最新エンジンへの更新確認／対話型アクセスの制限／管理者権限の最小化／監視テレメトリの保存など、運用面における多層防御の徹底が求められます。