チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「最新のWindows Update、ちゃんと当てているから安心、で本当に大丈夫だろうか？」
「PoCが公開されたゼロデイって、社内端末にどんな影響があるのか？」
チップスボス、また怖いゼロデイが来たって聞いたんでしゅ。今度はWindowsで、しかもパッチを当ててても効くって本当でしゅかぁ…！
ボスふふふ、噂は本当だ。Cloud Filter Driverを狙う「MiniPlasma」というゼロデイで、Windows 11 Proの最新パッチ環境でもSYSTEM権限まで奪える。社内のエンドポイントを抱える組織は深刻な話だな。
本記事では、PoCが公開されたWindowsゼロデイ「MiniPlasma」の概要と、組織として急ぐべき防御策をやさしく整理します。
Windows端末を業務利用する全企業のシステム担当者の方に役立つ内容です。
読み終えるころには、自社のWindows端末に何をすべきか、優先度の判断がつくはずです。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
まずは何が起きたのか、対象コンポーネントと攻撃の前提を押さえます。
研究者が公表した「MiniPlasma」は、WindowsのCloud Files Mini Filter Driver（cldflt.sys）に残るアクセス制御の不備を突く権限昇格ゼロデイです。
HsmOsBlockPlaceholderAccessというルーチンの処理を回避し、ドキュメント化されていないCfAbortHydration APIを悪用してレジストリ操作の権限を得る仕組みになっています。
もともとCVE-2020-17103として2020年12月に修正された脆弱性ですが、現在も不備が残っており、Windows 11 Proを含む完全パッチ環境でPoCの動作が確認されています。
詳細はBleepingComputerの報道に整理されています。
チップスふぇ、6年前に直したはずの穴がまだ残ってたなんて、ちょっと油断しすぎでしゅねぇ…。
ボスそうだ。OSのコア部品でも、修正が完全とは限らない。CVE番号がついて安心と思い込まず、ふたを開けて確かめる姿勢が必要だな。
続けて、この脆弱性が実際の業務に与える影響と、いま選べる選択肢を整理します。
MiniPlasmaのリスクは「最初の侵入の難易度を一気に下げる」点にあります。
フィッシングやUSB感染などで標準ユーザー権限を取得できれば、攻撃者は端末上でSYSTEM権限を手にし、EDR停止や横展開、ランサムウェアの初期足場づくりに使えます。
結果としてエンドポイント1台の侵害がドメイン全体の侵害につながる構図となり、被害規模を大きく膨らませる起爆剤になり得ます。
Microsoftの修正公開を待つ間、組織側の現実解はEDRと運用面の強化です。
cldflt.sys絡みの不審なAPI呼び出しや、CfAbortHydration系の呼び出しを検知できるよう監視ルールを更新します。
標準ユーザー権限の見直しと、特権管理ツール（PAM）の運用見直しで、万一権限昇格を許しても被害を最小化できる構成にしておきます。
Windows 11 Insider Preview Canaryでは修正の動きがあるとされ、検証環境でアップデート計画を前倒し検討する価値があります。
チップスウチの会社、EDR入れてるけどルールは購入時のままだったかも…。見直してみるでしゅ！
ボスうむ。導入で終わらず、最新の脅威に合わせて更新し続けることでEDRは本領を発揮する。運用に魂を入れていく姿勢が大切だな。
MiniPlasmaは、最新パッチを当てていてもWindows端末が完全に安全とは限らない現実をはっきり示した事例です。
EDRの検知ルール更新・特権管理の徹底・修正公開時の即時適用、この三点セットで侵入から被害拡大までの線を確実に断ちきりたいところです。
運用の手数が足りない現場では、即戦力のフリーランス専門家を活用する選択肢も検討する価値があります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
