Microsoft Defenderの権限昇格の脆弱性RoguePlanet
Microsoft Defenderに、公に「RoguePlanet」と呼ばれる権限昇格の脆弱性CVE-2026-50656があり［1］、研究者が2026年6月9日に実証コード（PoC）を公開していた［10］。Microsoftは7月8日〔注1〕のアドバイザリの改訂で、この脆弱性に対処したエンジンの更新を公開したと告知した［1］。
脆弱性の内容
Microsoftは6月16日にCVE-2026-50656のアドバイザリを公開した〔注2〕［1、2］。脆弱性はMicrosoft DefenderのMicrosoft Malware Protection Engine（mpengine.dll）にあり、ファイルアクセス前のリンク解決の不備により、認可された攻撃者がローカルで権限を昇格できるとした［1］。このエンジンは、Microsoftのウイルス対策ソフトの走査・検出・駆除の機能を担う［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| 題 | Microsoft Defender Elevation of Privilege Vulnerability | ［1］ |
| CWE | CWE-59（ファイルアクセス前のリンク解決の不備、リンクの追跡） | ［1］ |
| 影響と深刻度 | 権限昇格、Important | ［1］ |
| CVSS v3.1（Microsoft） | 基本値7.8〔注3〕、現状値7.6（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:F/RL:U/RC:C） | ［1］ |
| SSVC（CISA） | Exploitation: poc、Automatable: no、Technical Impact: total | ［3］ |
SecurityWeekは修正を伝えた記事で、この脆弱性が競合状態を突き、攻撃者がSystem権限に昇格できると報じた［10］。
研究者の6月9日の投稿では、初期の開発の段階で、この脆弱性はリモートコード実行だった［5］。被害者に遠隔のSMBサーバー上の.vhd(x)を開かせる必要があり、成功するとDefenderが自身のファイルを上書きした［5］。BitLockerを回避する場合もあり、Defenderが汚染ファイルを読むときにNTFS.sysへ別のデータを渡す専用の装置が必要だった［5］。
研究者は、これらの場合をすべてデバッガーで確かめたとした［5］。5月中旬以降にDefenderのmpengine!SysIO* APIに修正が入り、ジャンクションを使う攻撃が無効になったと説明した［5］。RoguePlanetがローカルの権限昇格（LPE）に限られるのか、リモートコード実行（RCE）に変えられるのかは、今のところ不明だとした［5］。
SecurityWeekによると、Microsoftは研究者のGitHubアカウントを停止し、RoguePlanetは新しいアカウントMSNightmareで公開された［8］。
Help Net Securityの7月9日の記事では、研究者は、Microsoftが脆弱性の報告を誤って扱って退け、報告に使ったアカウントを削除したためにPoCを公開していると主張している［15］。Microsoftは公開された脆弱性のどれについても研究者をクレジットしておらず、欠陥を認めるまでに2週間、修正の公開までに計1か月を要した［15］。
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Microsoft Malware Protection Engine（Microsoftのアドバイザリ） | 1.1.26050.11まで | 1.1.26060.3008 | ［1］ |
| Microsoft Malware Protection Engine（CVE Programの記録） | 1.1.0.0以上、1.1.26060.3008未満 | - | ［3］ |
| Windows Antivirus（2026年6月の版） | - | Platform 4.18.26060.3008、Engine 1.1.26060.3008 | ［11］ |
Microsoftはアドバイザリで、Defenderはサポートされるすべての版のWindowsで動作すると説明した［1］。同じエンジンを、Microsoft System Center Endpoint Protection、Microsoft System Center 2012 R2 Endpoint Protection、Microsoft System Center 2012 Endpoint Protection、Microsoft Security Essentialsも使う［1］。Defenderを無効にしたシステムは悪用できる状態ではなく、無効にしてもファイルはディスクに残るため、脆弱性スキャナーが検出する［1］。
SecurityWeekの6月10日の記事では、研究者がPoCを2026年6月の更新を適用したWindows 11とWindows 10で試し、Windows Serverでは動かないとした［8］。
SecurityWeekは6月17日の記事で、PoCはDefenderのリアルタイム保護の有効・無効にかかわらず動作し、パッシブモードでも動く可能性があると研究者が述べたと報じた［9］。
悪用の状況
Microsoftはアドバイザリの最新の改訂で、この脆弱性を公開済み（Publicly Disclosed）とし、悪用（Exploited）を「No」とした［1］。最新のソフトウェアでの悪用可能性は「Exploitation More Likely」と評価した［1］。
SecurityWeekのPoCの公開を伝えた記事によると、RoguePlanetの公開後まもなく、複数の研究者が、更新を適用したコンピューターでSYSTEM権限のコマンドプロンプトを起動できることを確かめた［8］。
窓の杜は、PoCの成否はタイミングに左右されるようだと報じ、「いくつかのマシンでは100％の成功率を得られたが、ほかのマシンではうまく動作しなかった」との説明を伝えた［14］。
同じ研究者が公開した別の脆弱性では、RedSun（CVE-2026-41091）、UnDefend（CVE-2026-45498）、BlueHammer（CVE-2026-33825）が実際に悪用されたとSecurityWeekは報じた［10］。
SecurityWeekの6月17日の記事では、RoguePlanetは、Microsoftのアドバイザリが名を挙げた同じ研究者の2件目の攻撃コードだった［9］。1件目はYellowKeyだった［9］。
修正と回避策
Microsoftのアドバイザリでは、既定の構成で、マルウェア定義とMicrosoft Malware Protection Engineが自動で最新に保たれる［1］。Microsoftは、エンジンの更新と定義の自動配布が環境で想定どおり動いているかを、定期的に確かめるよう推奨した［1］。この更新には、脆弱性の変更に加えて、セキュリティ関連の機能を改善する多層防御の更新が含まれる［1］。
Microsoftはリリースノートで、Windows Antivirusの2026年6月の版の改善点として、CVE-2026-50656に対処し、エンジンでのローカルの権限昇格への保護を改善したと記した［11］。
Malwarebytesの記事によると、エンジンの版はWindowsセキュリティの「設定」の「バージョン情報」にあるEngine Versionで確かめられ、修正版以上なら修正済みのエンジンである［13］。Qualysは、エンジンを修正版に更新する必要があるとし、検出用のQIDとして92413と387868を案内した［12］。
SecurityWeekは、研究者が修正の後にDefenderを再び解析し、メモリリークと隔離ファイルの扱いに関する新たな問題を見つけ、悪用できるかを調べていると報じた［10］。
The Recordの7月15日の記事では、Microsoftはこの修正を帯域外の更新で出し、研究者はその後、修正がディスク枯渇の経路を生むと主張した［16］。
未公表の事項
- 修正したエンジンの配布を始めた日時と、配布を終える時期
- リリースノートの版の日付とアドバイザリの改訂日が違う理由
- この更新に含まれる多層防御の更新の内容
- 研究者が修正の後に主張したディスク枯渇の経路と新たな問題についての、Microsoftの見解
- Windows Serverでの影響の有無についてのMicrosoftの説明
注
出典
当事者
- ［1］Microsoft Corporation『CVE-2026-50656 Microsoft Defender Elevation of Privilege Vulnerability』（2026年6月16日公開、2026年7月8日更新）
- ［2］Microsoft Corporation『CVE-2026-50656 Microsoft Defender Elevation of Privilege Vulnerability（改訂 1 の版）』（2026年6月16日公開、保存記録のみ） 保存記録
- ［11］Microsoft Corporation『Microsoft Defender for Endpoint release notes』（2026年6月30日公開、2026年10月23日更新）
公的機関
- ［3］CVE Program『CVE-2026-50656』（2026年6月16日公開、2026年9月24日更新）
- ［4］National Institute of Standards and Technology『CVE-2026-50656』（2026年6月16日公開、2026年10月25日更新）
調査・観測
- ［5］Nightmare Eclipse『RoguePlanet quick history』（2026年6月9日公開）
- ［12］Qualys, Inc.『Microsoft Defender Zero-day Vulnerability (CVE-2026-50656) (RoguePlanet)』（2026年6月18日公開、2026年7月27日更新）
- ［13］Malwarebytes Inc.『Microsoft fixes RoguePlanet zero-day in Defender』（2026年7月9日公開）
報道機関
- ［8］Wired Business Media『New Windows Zero-Day Exploit 'RoguePlanet' Released』（2026年6月10日公開、2026年6月17日更新）
- ［9］Wired Business Media『Microsoft Working on Patch for 'RoguePlanet' Zero-Day』（2026年6月17日公開）
- ［10］Wired Business Media『Microsoft Patches Defender 'RoguePlanet' Vulnerability』（2026年7月9日公開）
- ［14］株式会社インプレス『「Microsoft Defender」に未パッチの脆弱性「RoguePlanet」、システムが乗っ取られるおそれ』（2026年6月19日公開）
- ［15］Help Net Security『Microsoft releases fix for RoguePlanet Defender flaw (CVE-2026-50656)』（2026年7月9日公開）
- ［16］Recorded Future News『Microsoft smashes Patch Tuesday record for second successive month』（2026年7月15日公開）
更新記録
- 2026年7月11日：公開した。
- 2026年7月15日：Recorded Future Newsの7月15日の記事（出典16）を加え、修正と回避策と未公表の事項の節を改めた。
- 2026年7月27日：Qualys, Inc.の7月27日の更新（出典12）を加え、修正と回避策の節を改めた。
- 2026年9月24日：CVE Programの記録の9月24日の更新（出典3）を加え、脆弱性の内容と対象の製品と版の節を改めた。
- 2026年10月23日：Microsoft Corporationのリリースノートの10月23日の更新（出典11）を加え、対象の製品と版、修正と回避策、注を改めた。
- 2026年10月25日：National Institute of Standards and TechnologyのNVDの記録の10月25日の更新（出典4）を加え、注を改めた。