BigDiskBusterによるMicrosoft Defenderの更新妨害
- カテゴリ
- 脆弱性の公表
研究者MSNightmareが2026年9月19日にGitHubで公開したPoC「BigDiskBuster」は、LevelBlueによると、空き容量を使い切らせてMicrosoft Defenderの更新を失敗させ、サービスは動いたままにする［2］。LevelBlueの10月5日の報告では、BigDiskBusterにはCVEの割り当ても、パッチやMicrosoftのアドバイザリも無い［2］。
脆弱性の内容
更新を妨げる仕組み
Microsoftの文書によると、Microsoft Defender Antivirusには「プラットフォーム更新」と呼ぶKB4052623の更新が毎月要り、エンジンの更新はセキュリティインテリジェンスの更新に含まれて毎月出る［13］。
LevelBlueは報告で、ツールがReadDirectoryChangesWでボリュームのルートを監視すると説明した［2］。Defenderのステージング用ディレクトリが現れると、NtQueryVolumeInformationFileで空き容量を調べ、その大きさのGUID名の隠しファイルを%TEMP%に作る［2］。このファイルはFILE_ATTRIBUTE_HIDDENとFILE_DELETE_ON_CLOSEで作られる［2］。ハンドルを閉じると消えるので、実行後の走査で見つかる痕跡を残さない［2］。
更新が失敗するとDefenderがステージング用ディレクトリを片付けて空き容量が戻り、BigDiskBusterは続く更新の試みで同じことを繰り返す［2］。
ツールは起動時にNtCreateFileで、C:\ボリュームの生のデバイスのハンドルと、それを基点にしたMRT.exe〔注1〕のハンドルを開き、プロセスが終わるまで持ち続ける［2］。The Hacker Newsは、MRT.exeはWindowsの悪意のあるソフトウェアの削除ツールの実行ファイルで、そのハンドルはWindows Updateによる置き換えを妨げうる形で開かれると報じた［5］。
LevelBlueは、Windowsのパス解決の欠陥に頼ったShieldCrashと違い、BigDiskBusterは脆弱性を必要としないと説明した［2］。メモリ破壊も権限昇格の手段もカーネルモードの部品も使わず、生のデバイスのハンドル、相対パスでのファイルのオープン、ボリューム全体の再帰的な監視、過大な領域の確保という4つの標準のWindowsの仕組みを組み合わせる［2］。
第三者による動作の確認
セキュリティ研究者のWill Dormannは、Mastodonの投稿に添えた画像の説明で、BigDiskBusterを裏で動かした状態のDefenderの更新の失敗を2件示した［3］。表示は「インストール中の致命的なエラー」と「ディスクに十分な空き領域がありません（エラーコード 80070070）」だった［3］。
窓の杜の9月24日の記事では、BigDiskBusterは第三者による動作確認が取れておらず、作者自身も「少しバグがあり、書き直しが必要」と認めている［7］。同じ記事は、BigDiskBusterは撤回された模様で、公表していたGitHubのページにはアクセスできなくなっており、Microsoftもコメントを出していないと報じた［7］。
LevelBlueはPoCを実際のDefenderのプラットフォーム更新に対して実行し、観測した挙動は作者の説明と一致したと報告した［2］。攻撃の時間帯の間も後も端末に対応する警告は出ず、Windowsセキュリティの保護の更新の画面には、古いセキュリティインテリジェンスの版とエラーコード0x80070643だけが出た［2］。LevelBlueは、このエラーコードが無関係のさまざまなインストールや更新の失敗でも出る汎用の致命的なエラーで、ディスクの枯渇や外部のプロセスが原因だとは示さないと説明した［2］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Microsoft | Microsoft Defenderのサービス拒否の脆弱性CVE-2026-45498を公開した | ［12］ |
| 2026年 | Will Dormann | BigDiskBusterが動いているとDefenderの更新が成功しないとMastodonに投稿した | ［3］ |
| 2026年 | 香港中文大学資訊科技服務處 | BigDiskBusterの注意喚起を掲載した | ［1］ |
| 2026年 | Microsoft | BigDiskBusterについての声明をSecurityWeekに出した | ［6］ |
| 2026年 | LevelBlue | 再現の検証と検知の指標を載せた報告を公開した | ［2］ |
対象の製品と版
香港中文大学資訊科技服務處は注意喚起で、Microsoft Defender Antivirusを使うWindowsのクライアントとWindows Serverが影響を受けうるとした［1］。研究者はサポート対象のすべてのWindowsに影響しうると主張しているが、影響を受ける版と必要な権限は、Microsoftの公式な確認も独立の検証も経ていない［1］。悪用には、悪意のあるコードをローカルで実行する必要がある［1］。
修正と回避策
SecurityWeekが追記で掲載した声明で、Microsoftは、Microsoft Defender Antivirusが「BigDiskBuster」を検出し、観測された活動の検出と防止を含むと説明した［6］。同じ声明で、顧客にDefenderのセキュリティインテリジェンスとプラットフォームの更新を最新に保ち、入手できる最新のセキュリティインテリジェンスに更新するよう求めた［6］。
The Hacker Newsの9月22日の記事では、作者はBigDiskBusterを、4月に公開したUnDefendに「similar」としているが、UnDefendは別の方法で定義の更新を妨げるものだった［5］。同じ記事は、MicrosoftがUnDefendを5月にCVE-2026-45498として修正したと報じた［5］。
MicrosoftはCVE-2026-45498の深刻度をLowとし、公表済みと悪用をいずれもYesとした［12］。この脆弱性の影響を受ける最後のAntimalware Platformの版は4.18.26030.3011である［12］。修正済みの最初の版は4.18.26040.7である［12］。
香港中文大学が推奨した措置
香港中文大学資訊科技服務處は、システムの管理者にDefenderの更新状況とディスク使用量を監視し、Microsoftのセキュリティ更新が出たら適用するよう求めた［1］。
- ローカル管理者権限の、必要な利用者とサービスアカウントへの限定［1］
- 正規のDefenderの更新の動き以外でMRT.exeのハンドルを持ち続けるプロセスの監視［1］
- 利用者の%TEMP%で急速に作られては消える大きなファイルの監視［1］
- Defenderのプラットフォームやシグネチャの更新の失敗に伴う、想定外のディスクの満杯への警告［1］
- 同じプロセスIDによるMRT.exeとボリュームのデバイスのハンドルの動きの相関［1］
- 二次的な検知・防御の手段の維持［1］
LevelBlueが挙げた検知の指標
LevelBlueは、ボリュームのデバイスのハンドルはsvchost、SearchIndexer、dllhost、TiWorkerなどの正規のプロセスも持つため、単独では特異性が低いと説明した［2］。MRT.exeのハンドルを持つ正規のプロセスは、検証環境ではDefenderのサービスのプロセスとTrustedInstallerに限られた［2］。
許可リストに無い同じプロセスIDがMRT.exeとボリュームのハンドルを同時に持つことを、LevelBlueは最も強い兆候とした［2］。Defenderの更新の失敗の間に%TEMP%で短時間だけ作られるGUID名の隠しファイルと、インストーラの動きを伴わない0x80070643の繰り返しも指標に挙げた［2］。更新中のサイズ変更の通知ごとに確保のスレッドを作り直すので、空き容量を一度空けるだけでは対策にならないとも説明した［2］。
The Hacker Newsは、管理者がWindowsセキュリティの「ウイルスと脅威の防止」から「保護の更新」を開くか、PowerShellのGet-MpComputerStatusのAMEngineVersionとAMProductVersionを見れば、定義とプラットフォームの版を確かめられると報じた［5］。WDACかAppLockerで未知のバイナリの実行を制限すれば、攻撃者がツールを動かすことを制限できるとも報じた［5］。
未公表の事項
- BigDiskBusterの実際の攻撃での悪用の有無
- Microsoftの声明がいう検出の名前
- CVE-2026-45498の修正がBigDiskBusterの手法も防ぐか
- BigDiskBusterの手法に特化したMicrosoftの回避策
注
- 〔注1〕香港中文大学の注意喚起は、この動作をMRT.exeの「ロック」と書いた［1］。
出典
公的機関
- ［1］CUHK Information Technology Services Centre『Microsoft Denial-of-Service Vulnerability "BigDiskBuster" (CVE-Unknown)』（2026年9月22日公開）
調査・観測
- ［2］LevelBlue, Inc.『Filling the Well: Nightmare-Eclipse's BigDiskBuster and the Defender Update That Never Lands』（2026年10月5日公開、2026年10月29日更新）
- ［3］Will DormannのMastodonアカウント（@wdormann）『New from NightmareEclipse: BigDiskBuster』（2026年9月21日公開）
報道機関
- ［5］The Hacker News『Researcher Drops BigDiskBuster Zero-Day PoC That Blocks Microsoft Defender Updates』（2026年9月22日公開）
- ［6］Wired Business Media『Nightmare Eclipse Drops New Microsoft Defender Exploit After Revealing Identity』（2026年9月22日公開、2026年9月26日更新）
- ［7］株式会社インプレス『「Microsoft Defender」のゼロデイ脆弱性（？）「BigDiskBuster」が公開されるも……』（2026年9月24日公開）
背景資料
- ［12］Microsoft Corporation『CVE-2026-45498 Microsoft Defender Denial of Service Vulnerability』（2026年5月19日公開、2026年5月26日更新）
- ［13］Microsoft Corporation『Microsoft Defender Antivirus security intelligence and product updates and support』（2026年5月14日公開、2026年8月25日更新）
更新記録
- 2026年9月29日：公開した。
- 2026年10月5日：LevelBlueの10月5日の報告（出典2）を加え、更新を妨げる仕組みと再現の結果を「脆弱性の内容」に、検知の指標を「修正と回避策」に書き、リードを改めた。
- 2026年10月29日：LevelBlueの報告の10月29日の更新（出典2）に合わせ、出典の行を改めた。