Microsoft Defender

更新：この記事の最後にマイクロソフトからの声明を追加しました。

あるセキュリティ研究者が、マイクロソフトが2026年6月の「パッチ・チューズデー」で以前に公表されていた2つの脆弱性を修正したわずか数時間後に、「RoguePlanet」と名付けられたマイクロソフト・ディフェンダーの新たなゼロデイ攻撃手法を公開しました。

Nightmare Eclipseとして知られるこの研究者は、この新たな脆弱性が完全にパッチ適用済みのWindows 10およびWindows 11デバイスに影響を及ぼし、攻撃者がMicrosoft Defenderのレースコンディションの脆弱性を介してSYSTEM権限を持つコマンドプロンプトを起動できると述べています。

image

同研究者は火曜日の午後、自身のホストするGitリポジトリに概念実証（PoC）エクスプロイトを公開した。これについて、自身のエクスプロイトをホストしていたGitHubおよびGitLabのリポジトリが、以前にマイクロソフトによって削除されていたと述べている。

「このエクスプロイトはレースコンディションであるため、成功するか否かは運次第です。一部のマシンでは100%の成功率を達成できましたが、他のマシンでは動作させるのに苦労しました」と、Nightmare Eclipse氏はリポジトリに記しています。

この脆弱性は、Windows 11の公式ビルドおよびCanaryビルドに加え、2026年6月のセキュリティ更新プログラムが適用されたWindows 10システムでもテストされたと報じられている。

成功すると、SYSTEM権限を持つWindowsコマンドプロンプトが起動する。

サイバーセキュリティ企業のThreatLockerは、自社でのテストでこの脆弱性を再現することに成功し、KB5094126がインストールされた完全にパッチ適用済みのWindows 11システムに対してもエクスプロイトが機能することを確認したと述べ、その実証動画を公開した。

「初期分析の結果、RoguePlanetエクスプロイトは有効であり、説明どおりに動作することが確認されました。アプリケーションの許可リストを使用している組織は、このエクスプロイトの実行を阻止でき、この攻撃に対する効果的な防御層を提供できます」と、ThreatLockerのCEOであるダニー・ジェンキンス氏は語った。

Nightmare Eclipseによると、RoguePlanetは当初、Microsoft DefenderによるリモートSMB共有上のファイル処理の脆弱性を悪用するリモートコード実行型エクスプロイトとして開発された。

「初期開発段階において、この脆弱性がリモートコード実行（RCE）を引き起こすことが確認されました」と、研究者はブログ記事で説明した。

「攻撃者は、被害者にリモートSMBサーバー上の.vhd(x)ファイルを開かせる必要がありました。攻撃が成功すると、Defenderが自身のファイルを上書きし、当然ながら最終的な結果はRCE（リモートコード実行）となりました。」

同研究者によると、シンボリックリンクの評価設定が有効になっている場合、被害者にSMB共有を開かせるだけでリモートコード実行に至る別の攻撃シナリオも存在するという。

しかし、同研究者によると、マイクロソフトは5月中旬に「mpengine!SysIO*」APIへのパッチ適用によりDefenderを密かに強化し、ジャンクション攻撃をブロックしたとのことです。

「RoguePlanetを再動作させるために書き直す作業は精神的に消耗し、他のシナリオを完了することができませんでした。現時点では、RoguePlanetがLPE（ローカル権限昇格）に限定されるのか、それとも何らかの方法でRCEに転換できるのかは不明です」と研究者は記している。

今回の公開は、マイクロソフトの脆弱性開示およびバグ報奨金制度をめぐり、Nightmare Eclipseとマイクロソフトの間で続いている論争の一環である。

過去数ヶ月にわたり、この研究者はBlueHammer、RedSun、GreenPlasma、YellowKeyなどの脆弱性を含む、複数のWindowsゼロデイを公開してきた。これらのゼロデイの一部はMicrosoft Defenderを標的としており、その他はBitLockerやWindowsコンポーネントを標的としていた。 

マイクロソフトは本日、2026年6月の「パッチ・チューズデー」更新の一環として、GreenPlasmaおよびYellowKeyの脆弱性を修正した。

マイクロソフトは以前、これらの情報開示に対し、「顧客に実害をもたらす悪意のある活動」が行われた場合には法執行機関と協力すると警告しており、サイバーセキュリティコミュニティの多くの人々は、マイクロソフトが当該研究者を脅迫していると受け止めていた。

Nightmare Eclipseは、マイクロソフトがGitHubやGitLabでホストされていた過去のリポジトリを繰り返し標的にし削除したため、projectnightcrawler.devでセルフホスト型のコードプラットフォームを構築したと主張している。

当メディアは、この新たなゼロデイ脆弱性についてマイクロソフトに問い合わせを行っており、声明が寄せられ次第、記事を更新する予定だ。

2026年6月10日更新：本記事の公開後、マイクロソフトは当メディアに対し、報告された脆弱性を認識しており、調査中であると伝えた。

「マイクロソフトは報告された脆弱性を認識しており、これらの主張の妥当性と潜在的な適用可能性について積極的に調査しています。マイクロソフトは、セキュリティ問題を調査し、影響を受ける製品を更新して、できるだけ早く顧客を保護することに尽力しています」と、マイクロソフトの広報担当者は本メディアに語った。

「重要な点として、当社は『協調的脆弱性開示（Coordinated Vulnerability Disclosure）』を支持しています。これは、発見された脆弱性が公表される前に徹底的に調査・対処されることを保証することで、顧客を保護し、研究コミュニティを支援する業界標準です。」