Microsoft

火曜日、マイクロソフトは、完全にパッチが適用されたWindowsシステム上で攻撃者がSYSTEM権限を取得できる2つのゼロデイ脆弱性と、BitLockerで保護されたドライブへのアクセスを可能にする3つ目の脆弱性に対する修正プログラムを公開した。

これら3つのセキュリティ上の欠陥はすべて、マイクロソフト・セキュリティ・レスポンス・センター（MSRC）の情報開示プロセスの取り扱いに対する抗議として、「Nightmare Eclipse」というハンドルネームを使用するセキュリティ研究者によって先月公開されたものである。

「GreenPlasma」および「MiniPlasma」と名付けられた これら2つの権限昇格の脆弱性（CVE-2026-45586およびCVE-2020-17103として追跡）は、Collaborative Translation Framework（CTFMON）およびCloud Files Mini Filter Driverに発見され、 これらは、完全にパッチが適用されたWindowsシステム上で、ローカルの攻撃者がSYSTEM権限を持つシェルを取得することを可能にする。

image

昨日修正された3つ目のゼロデイ脆弱性は「YellowKey」（CVE-2026-45585として追跡）として知られており、Windowsの起動関連の問題を修復するために使用されるWindows Recovery Environment（WinRE）内でバックドアとして機能します。

標的となるデバイスに物理的にアクセスできる攻撃者は、YellowKeyのエクスプロイトを利用して、パッチが適用されていないWindows 11およびWindows Server 2022/2025システム上のBitLocker保護を迂回することができます。

マイクロソフトは、実環境でこの脆弱性を悪用する潜在的な攻撃から防御するためのYellowKeyに対する緩和策を公開した一方で、概念実証（PoC）が「調整された脆弱性対応のベストプラクティスに違反して公開された」と不満を表明した。

火曜日、マイクロソフトは2026年6月の「パッチ・チューズデー」更新プログラムの一環として、GreenPlasma、MiniPlasma、およびYellowKeyのセキュリティ脆弱性を修正しました。

過去数ヶ月にわたり、Nightmare Eclipseは、現在攻撃で積極的に悪用されている2つのローカル特権昇格（LPE）ゼロデイ脆弱性であるBlueHammer（CVE-2026-33825）とRedSun（識別子なし）に対する概念実証（PoC）エクスプロイトを公開してきた。 また、同研究者は「UnDefend」というゼロデイも公開した。これは、標準ユーザー権限を持つ攻撃者がMicrosoft Defenderの定義ファイル更新をブロックするために悪用できるものである。

さらに最近では、マイクロソフトが今月のセキュリティパッチを公開してから数時間後、Nightmare Eclipseは「RoguePlanet」と名付けられた新たなDefenderのゼロデイエクスプロイトを公開した。これにより、脅威アクターはSYSTEM権限を持つコマンドプロンプトを起動できるようになる。

マイクロソフトは当初、これらのゼロデイ情報の流出に対し法的措置をちらつかせて対応したが、ソーシャルメディア上で激しい反発を受けたことを受け方針を転換し、セキュリティ研究者が「法律に違反し、顧客に実害をもたらす悪意のある活動に従事した場合」に限り、法執行機関と協力すると述べた。