セキュリティを守るはずのMicrosoft Defenderが、自身の脆弱性を通じた攻撃経路になる——その事態が現実のものになった。独立系セキュリティ研究者のChaotic Eclipse（別名Nightmare-Eclipse）氏は、Microsoft Security Response Center（MSRC：マイクロソフトセキュリティレスポンスセンター）との交渉が決裂したとして、Defenderに関する3つのゼロデイ脆弱性を意図的にGitHubで公開した。そのうちの1件（CVE-2026-33825、通称BlueHammer）はCVSS（共通脆弱性評価システム）スコア7.8のHighと評価される権限昇格の脆弱性だ。公開から3日後の4月10日には実際の攻撃での悪用が観測されており、セキュリティサービス企業Huntress Labsが4月17日にこれを報告している。残る2件のゼロデイ（RedSun・UnDefend）は、この記事を執筆している2026年4月18日時点でまだパッチが提供されていない。

AD

Defenderの3つのゼロデイが公開されるまで

Chaotic Eclipse氏はMicrosoftへ脆弱性を報告したものの、MSRCの対応に納得がいかず、GitHubにPoCコード（概念実証コード）を含む詳細情報を公開した。業界では脆弱性発見後にベンダーへ非公開で報告し、修正期間を置いてから詳細を公開する「責任ある開示（Responsible Disclosure）」がプロセスの慣行だが、今回はそれが破られた形だ。同氏は「they don't care（MSRCは研究者の懸念を気にしていない）」と述べており、意図的な公開であることを明示している。本稿執筆時点でMicrosoftからこの経緯についての詳細なコメントは発表されていない。

今回公開された3つの脆弱性は、攻撃の目的がそれぞれ異なる。BlueHammerはLPE（Local Privilege Escalation：ローカル権限昇格）の脆弱性で、標準ユーザーがSYSTEM権限を奪える。RedSunはDefenderのクラウドタグロールバック機能を悪用した別のLPEだ。UnDefendはDefender自体の定義更新を止めるDoS（Denial of Service：サービス妨害）脆弱性で、RedSun・UnDefendのCVE番号は本稿執筆時点で未確認のため名称のみで参照する。研究者が3件を同時公開したことで、攻撃者は権限奪取から防御の無効化まで段階的な手口を手に入れた。

BlueHammerのみ、4月14日のPatch Tuesday（月例セキュリティ更新）でパッチが提供された。修正バージョンはDefender 4.18.26030.3011だ。RedSunとUnDefendについてMicrosoftから修正スケジュールの公式発表はなく、現在も未修正のまま運用システムに存在する。

BlueHammerの攻撃メカニズム：確認と使用のタイミングを狙う

Microsoft Defenderが権限チェックを終えた瞬間、別スレッドがNTFSジャンクションポイントを挿入してファイルの参照先を差し替える。Defenderはすでに「安全」と判断した後なので変更に気づかず、SYSTEM権限でそのファイルを操作する。この手口がTOCTOU（Time-of-Check to Time-of-Use：確認と使用のタイミングのずれ）と呼ばれる競合状態で、セキュリティソフト自身がこの脆弱性を抱えていた点が今回の事態を際立たせる。

NTFSジャンクションポイントはWindowsのファイルシステムが持つリダイレクト機能で、あるディレクトリへのアクセスを別の場所に透過的に誘導する。攻撃者はこれを使ってDefenderが確認を終えた後にシステムファイルを上書きし、DefenderのSYSTEM権限を乗っ取る形で標準ユーザーのプロセスをSYSTEM権限で実行させる。TOCTOUはOSのカーネルや権限管理コンポーネントで古くから知られる攻撃パターンだが、PoCの完成度が高い場合は前提条件もほぼない。

Microsoftはこの脆弱性の「攻撃複雑度」をLow（低）と評価している。前提条件は標準ユーザーアカウントのみで、ユーザーが何らかの操作を行う必要はない。影響を受けるOSはWindows 10および11の全サポートバージョン、Windows Server 2016/2019/2022/2025と広範に及ぶ。

AD

公開3日で実攻撃：Huntressが観測したhands-on-keyboard攻撃

Chaotic Eclipse氏がPoCを公開したのは4月7日前後だ。Huntress Labsが攻撃活動を最初に検出したのはその3日後の4月10日で、実際の侵入事例における悪用が確認された。4月17日に公開した分析レポートで、Huntress Labsはこの攻撃が自動化スクリプトによる大量配信ではなく、人間のオペレーターが直接操作する「hands-on-keyboard攻撃」であることを明らかにした。

Huntress Labsが観測した攻撃パターンでは、エクスプロイト実行の前に whoami /priv（権限確認）や cmdkey /list（資格情報列挙）、net group（グループ調査）といった偵察コマンドが複数実行されている。これらは侵入後の横展開（ラテラルムーブメント）を準備する典型的な手順で、攻撃者が標的環境を手動で精査してからBlueHammerによる権限昇格に移行したことを示す。特定の標的を絞り込んだ意図的な侵入であり、自動化された無差別感染とは性格が異なる。

PoCが公開されてからHuntressの報告まで10日、その間に実攻撃が始まっていた事実は、ゼロデイのPoCが公開された時点で攻撃者側の準備期間は数日に短縮されていることを改めて示す。研究者がベンダーへの抗議として選んだ手段が、一般ユーザーとエンタープライズ環境に直接的なリスクとして降り掛かった。

今からとれる対処と、未修正の2件が残す課題

BlueHammerへの対処はMicrosoftの月例更新を適用するだけで完了する。Windows Updateが有効な環境ではDefender 4.18.26030.3011以降が自動的に配信される。現在のバージョンはDefenderの保護履歴またはPowerShellで Get-MpComputerStatus コマンドを実行して確認できる。企業環境でMicrosoft IntuneやConfiguration Managerで管理している場合は、更新ポリシーとコンプライアンスレポートで展開状況を確認することが現実的な手順になる。

修正はBlueHammerの1件のみで、RedSunとUnDefendは依然として野放しのままだ。しかも研究者によるPoCが既に公開済みである以上、攻撃者の参入コストは低い。RedSunで権限昇格を重ね、UnDefendでDefenderの定義更新を止めれば、ランサムウェアの検知を無効化したままペイロードを展開できる。その状態でランサムウェアを配備されれば、エンタープライズ環境での機密情報流出やサービス停止が現実のリスクとなる。Microsoftがこの2件の修正を次のPatch Tuesday（5月14日予定）まで持ち越すのか、帯外パッチ（Out-of-Band）を配布するのかは、2026年4月18日時点で公表されていない。

ベンダーと研究者の交渉が決裂したとき、ユーザーは「リスクを知る機会」も「修正を待つ猶予」も失う。今回のケースはその最悪の形で完結した——PoCの公開が攻撃者に渡り、ユーザーには未修正の2件が残された。Microsoftには帯外パッチでの早期対応が求められる。業界全体には、ベンダーが研究者報告を受領してから修正完了までの期間を公開する「修正タイムライン開示」の制度化が課題として残る。CERT/CC（コンピュータ緊急対応チーム）などへのエスカレーション経路が整備されれば、研究者が「無視された」と感じる状況は減らせる。

Sources