2026年6月の中頃、マイクロソフト は、Windows DefenderのスキャンエンジンであるMicrosoft Malware Protection Engine（mpengine.dll）に存在する権限昇格の脆弱性「RoguePlanet」を認めました。 マイクロソフトの は、この脆弱性を「悪用される可能性が高い」と評価し、CVSSスコアを 7.8と割り当てました。。 マイクロソフトは、 2026年7月 のパッチサイクルにおいて、マルウェア保護エンジン（Malware Protection Engine）バージョン1.1.26060.3008 向けの修正プログラム を公開しました。
2026年8月11日において、セキュリティ研究者の 氏が、 という新しい概念実証（PoC）ツール「ShieldBreak」を公開し、マイクロソフトが7月にリリースした修正パッチを完全に回避できると主張しました。 このPoCは、Canaryチャネルのビルドを含むWindows 11 25H2およびWindows Server 2025に対してテストが行われ、 100％の成功率が報告されています。複数の報道機関によると、Windows 10 およびそのServer版も、同じ根本的な脆弱性の影響を受け続けているとのことです。ただし、公開されているPoCは、これらを公式な標的としていません。 独立したテストにより、このエクスプロイトが機能することが確認され、成功させるにはWindows Defenderを有効にする必要があることが判明しました。 この記事の執筆時点では、マイクロソフトはこの回避策を修正する更新プログラムを公開しておらず、 の「 CVE-2026-50656」に関するセキュリティ更新プログラムガイドには、依然として7月のエンジン更新プログラムが利用可能な修正策として記載されています。
この脆弱性とは何か
RoguePlanetは、mpengine.dllにおけるレースコンディション（「確認してから実行する」というタイミングの隙間）であり、ローカルの攻撃者がファイルスキャン中にこの条件を悪用することで、 、NT AUTHORITY\SYSTEM、として実行されるコマンドシェルへとリダイレクトさせることができます。 マイクロソフトが7月に公開した修正プログラムにより、この脆弱なコードへの侵入経路の一つが塞がれました。 ShieldBreakは、別の手法を用いて根本的な競合状態を再誘発します。具体的には、不正なクラウドストレージプロバイダーを登録し、それを細工されたプレースホルダーファイルに紐付け、CLFSログの操作とObject Managerのシンボリックリンクを組み合わせて、Defenderのスキャンパイプラインを欺き、正当なシステムファイル（phoneinfo.dllとして報告される）をロックさせます。その間に、その下に悪意のある代替ファイルがすり替えられ、最終的にSYSTEMレベルのシェルが生成されます。 MITRE ATT&CKに照らし合わせると、関連する手法は T1068 （権限昇格のためのエクスプロイト）およびT1574 （実行フローの乗っ取り）です。
覚えておくべき重要なポイント
- まずローカルでのコード実行が必要です。攻撃者が権限を昇格させるには、既存の足掛かり（標準ユーザーセッション、ユーザーが実行する悪意のあるファイル、または前段階のペイロード）が必要となります。 これは、リモートからの認証なしの攻撃ではありません。
- このエクスプロイトが機能するためには、Windows Defender が有効になっており、かつアクティブにスキャンを行っている必要があります。Defender が無効になっているエンドポイント、または別の製品が登録されたウイルス対策ソフトとして設定されているエンドポイントは、影響を受けません。
- Windows 11 25H2 （Canaryチャネルを含む）およびWindows Server 2025において、 100％の成功率が確認されています。Windows 10 およびそのServer版についても、根本的な脆弱性を共有しているとの報告がありますが、現在の公開されているPoCでは公式に対象としていません。
- 現在、ShieldBreakのバイパスを修正するマイクロソフトのセキュリティ更新プログラムはありません。 2026年7月 のマルウェア対策エンジン更新プログラム（1.1.26060.3008）では、元のRoguePlanetのパスに対してのみ対応が行われました。
Taniumがどのように役立つか
Tanium Guardian： 「ShieldBreak：Windows Defender ゼロデイエクスプロイト」ダッシュボードでは、Windows Defender がアクティブなウイルス対策プロバイダーとして登録されているエンドポイントや、実際に攻撃にさらされているエンドポイントの数（Defender が無効になっている場合や別の製品が登録されている場合はエクスプロイトが実行されないため）をグラフで表示しています。また、暫定的な対策として、エクスプロイトが依存するファイル置換ステップをブロックする 0 バイトの placeholder ファイル「phoneinfo.dll」と、ロールバックパッケージを展開するためのアクションも含まれています。 広く展開する前に、少人数のグループで緩和策をテストしてください。予期せぬ影響が生じる可能性があります。
Tanium Threat Response： ダッシュボードの「Hunting Guidance」セクションにあるシグナルを実行してください。1つは、-upload コマンドラインで起動された Windows エラー報告プロセス（wermgr.exe）の子プロセスをフラグ付けし、もう1つは、WER ReportQueue パスに Report.werファイルをWERのReportQueueパスに書き込む非SYSTEMプロセスを検出します。これらは、既知の誤検知（Visual Studioの PerfWatson2.exeおよびdevenv.exe、HxD.exe、SQL ServerのScenarioEngine.exe）に対して調整されています。 変更されていないShieldBreakのアクティビティは、引き続き既存のTaniumシグナル「Conhost Spawned Executable」およびWindows Defenderのネイティブシグネチャをトリガーするはずですが、このエクスプロイトを悪用する攻撃者は、シグネチャベースの検知を回避する可能性があります。
Tanium Interact： ダッシュボードに用意されている質問（Report.wer ファイルに関する SYSTEM ユーザー以外のファイルアクティビティ、wermgr.exe の子プロセスツリー、および Windows エラー報告機能を含む SYSTEM ユーザープロセス）を実行し、全環境におけるアクティビティをその都度確認してください。
参考文献
- Microsoft セキュリティ更新プログラムガイド CVE-2026-50656
- CVE-2026-50656 詳細 - NVD
- CVE-2026-50656 - CVE レコード
- Kudelski Security、「RoguePlanet」ゼロデイ脆弱性によるMicrosoft Defenderの権限昇格
- Security Affairs、ShieldBreak：新たなWindowsのゼロデイ脆弱性が、MicrosoftのRoguePlanet向けパッチを迂回
- Security Affairs：マイクロソフトがRoguePlanetのゼロデイ脆弱性を確認、パッチを開発中
- Security Affairs、マイクロソフトがDefenderの脆弱性を修正 RoguePlanet (CVE-2026-50656)
- Tanium Threat Response ユーザーガイド：インテリジェンス（シグナル）の追加
- Tanium Interact ユーザーガイド、Interact の概要
Gurdianリサーチチーム
Guardianリサーチチームは、サイバーセキュリティのエキスパートで構成された専門チームで、重大な脅威、新たな脅威、ゼロデイ脅威を特定・分析し、実用的なインテリジェンスを提供することをミッションとしています。
