Microsoft Defender CVE-2026-50656「RoguePlanet」が緊急パッチ公開、エクスプロイト公開から29日間SYSTEM権限奪取が可能に

「Windows Defenderって、ウイルスを防ぐはずのソフトでしゅよね？　その防衛ソフト自体に穴があるって怖すぎましゅ」
「Windows を最新状態に保っていたのに脆弱だったって、どういうことでしゅか？」

チップス

ボス！Windows Defenderにゼロデイ脆弱性「RoguePlanet」が見つかって緊急パッチが出たんでしゅけど、ウイルス対策ソフト自体が攻撃されるなんて皮肉でしゅよね…

ボス

CVE-2026-50656、CVSS 7.8の深刻な脆弱性だな。一般ユーザー権限があれば、システム上の最高権限であるSYSTEM権限を奪取できる。しかもエクスプロイトが公開されてから29日間、正式なパッチが出ていなかった。Microsoftの対応の遅さも問題だ。

セキュリティソフト自体の脆弱性は、攻撃者に「守護者を乗っ取る」という最大の優位をもたらす。
今回の脆弱性の仕組みと、対応状況を詳しく解説する。

Microsoftは「顧客による手動操作は不要」としているが、自動更新が適切に機能しているか確認する必要がある。
同一の研究者がMicrosoft Defenderの4件目の脆弱性を発見した事実も注目に値する。

「RoguePlanet」CVE-2026-50656の全容：エクスプロイト公開から29日間のリスク期間

今回の脆弱性は公開の経緯も問題になった。パッチより先にエクスプロイトが出回っていたからだ。

セキュリティ研究者Nightmare-EclipseによるFull Disclosureとその影響

「RoguePlanet」はセキュリティ研究者「Chaotic Eclipse」（別名：Nightmare-Eclipse）がMicrosoftへの報告と並行して公開した脆弱性だ。
研究者が動作するエクスプロイトコードをGitHubに公開してから29日後に、ようやく修正版エンジンがリリースされた。
この29日間、攻撃者は公開されたエクスプロイトを使って一般ユーザー権限からSYSTEM権限への昇格を行える状態が続いていた。

チップス

パッチが出る前にエクスプロイトが公開されるって、それってやっていいことでしゅか？

ボス

「完全開示（Full Disclosure）」vs「責任ある開示（Responsible Disclosure）」という議論は長年続いている。ベンダーが遅延し続けるケースへの圧力として使われることもある。今回は対応期限を過ぎたとの判断だろうが、ユーザーへのリスクは確実に高まる。

この脆弱性の深刻度を評価する上で重要な点は以下のとおりだ。

脆弱性の仕組みとMicrosoft Defender研究者の「4連発」が示す構造的問題

「RoguePlanet」はレースコンディションという攻撃手法を用いている。なぜこの種の脆弱性がセキュリティソフトで繰り返し見つかるのかを理解しておきたい。

レースコンディションでSYSTEM権限を奪取するメカニズム

レースコンディション（Race Condition）とは、複数のプロセスが同じリソースに「ほぼ同時に」アクセスする際に生じるタイミングの隙間を悪用する手法だ。
Microsoft Malware Protection Engine（mpengine.dll）は、ファイルを検査する際に高い権限（SYSTEMレベル）で動作する。
このエンジンが検査処理中の一瞬の隙間に攻撃者がタイミングよく割り込むことで、SYSTEM権限でシェルを起動できる状態を作り出せる。

チップス

じゃあ、ウイルス対策ソフトが動いているまさにその瞬間に攻撃されるということでしゅか？　なんか逆説的でしゅ…

ボス

その通りだ。「守るために高い権限で動く」という性質が逆用される。これはDefenderだけの問題ではなく、セキュリティソフト全般に共通する構造的なジレンマだ。さらに同研究者はBlueHammer・UnDefend・RedSunと今回で4件目のDefender脆弱性を発見している。

対応として確認すべき内容をまとめる。

まとめ

「RoguePlanet」はWindows Defenderの根幹である検査エンジン自体のレースコンディション脆弱性だ。
パッチは自動配信されているが、自動更新が機能していない端末では依然リスクが残る。
エンジンバージョン1.1.26060.3008以上への更新を確認し、脆弱期間のログ調査を行ってほしい。

チップス

Windows Defenderのバージョン確認方法を調べて、今すぐ確かめましゅ！　自動更新がちゃんと動いているか不安だったんでしゅよね。

ボス

ふふふ。「自動だから大丈夫」は禁句だ。自動更新が実際に機能しているかを確認するのも立派なセキュリティ業務だ。端末管理ツールでエンジンバージョンを一括確認する習慣をつけるといい。

組織内のすべての端末でDefenderエンジンバージョンを確認し、古いバージョンが残っている端末に対して速やかに更新を適用することを強く推奨する。