ハンティングするかされるか：ShieldBreakゼロデイ

2026年8月11日において、あるセキュリティ研究者が「ShieldBreak」と呼ばれる概念実証（PoC）を公開しました。これは、Windows Defenderの権限昇格の脆弱性に対するマイクロソフト自身が7月にリリースしたパッチ（RoguePlanet）を完全に回避するもので、Windows 11 25H2 およびWindows Server 2025に対して 100％の成功率を記録したと報告されています。 このバイパスに対するベンダーによる修正は存在しませんでした。 唯一の有効な防御策は、どちらが先に動いたかということでした。

ShieldBreakは例外ではありません。 Taniumの顧客基盤全体にわたる社内テレメトリデータによると、2026年半ば以降、新たに発見される脆弱性の1日あたりの件数が急増しており、過去9か月間に追跡した安定した基準値を約4～5倍上回っており、その数値は依然として低下していません。 このような増加傾向を指摘しているのは、私たちだけではありません。 Epoch AIの独立したデータ（ （新しいタブで開きます）、、 ）によると、同期間において、大手企業から報告された「重大」および「高深刻度」の脆弱性も同様に急増していることが示されています。 ベンダーのパッチを待つことは、もはや信頼できる戦略とは言えません。 優位に立っている組織とは、脆弱性が悪用される前にその存在を突き止め、脅威が現れた瞬間にリアルタイムのエンドポイントデータを照会できる組織のことです。

「ゼロデイ攻撃の場合、事前にデータを収集しておいたり、SIEMやEDRに適切なテレメトリデータが事前に収集されていることを期待したりすることはできません。」 Tanium を使用すれば、エンドポイント環境のリアルタイムデータを照会することで、脆弱な箇所を即座に特定することができます。 「最悪の場合、攻撃を受けているまさにその瞬間、どこが狙われているのかがはっきりと分かってしまうこともあります。」――アーロン・スミス、脅威ハンティング責任者

当日対応の仕組み

HuntIQの脅威調査チームは、ShieldBreakの概念実証（PoC）が公開されてから約1時間以内に、実験室内でその実行に成功しました。 この手法自体は独特なもので、不正なクラウドストレージプロバイダーを登録し、ログの改ざんとシンボリックリンクを組み合わせて、Windows Defenderのスキャン処理を欺き、正当なシステムファイルを悪意のあるファイルとすり替え、最終的にシェルを起動させます。 ハンターたちはその情報を基に、迅速に初期検知計画を策定しました。

その後、Hunterチームは5万以上のエンドポイントを対象にシグナルを検証し、脅威インテリジェンスと指標を照合した結果、このエクスプロイトがすでに実環境で悪用されていることが確認されました。

確認が完了すると、Taniumはすべてのクラウド顧客に対し、修正措置とロールバックのパッケージを提供しました。これらはGuardianダッシュボード内で提供され、実際に影響を受けたエンドポイントを自動的に特定しました。

特定のシグナルに関連付けられた事前設定済みの自動対応ルールが設定されていたお客様の場合、エクスプロイトプロセスが検出された瞬間にTanium Atlasによって強制終了され、アナリストが介入する必要はありませんでした。

要点を凝縮して

ベライゾンの『 2026 Data Breach Investigations Report』（ ）（新しいタブで開きます） によると、既知の悪用されている脆弱性を修正するまでの中央値は 43 日となっています。 通常なら数週間を要する作業――エクスプロイトのリバースエンジニアリング、手作業による検知、誤検知のテスト、修正案の作成と承認、修正の展開、そして事後的なハンティング――を、Taniumの専任ハンティングチームは開始から完了までわずか 48 時間で完了させ、業界の中央値を95％上回りました。

Tanium Security Operationsが提供するものは、脅威が特定される前に、その検知、軽減、封じ込めを行うことです。

• Tanium Security Operations と HuntIQ を活用して、次なるゼロデイ攻撃に先手を打つ方法をご確認ください
• 技術的な詳細はこちらをご覧ください： ShieldBreak：パッチが提供されていない Windows Defender のゼロデイ脆弱性 — そしてその対処法