Windowsに標準搭載されているMicrosoft Defenderの更新処理を突き、管理者権限を奪う特権昇格の脆弱性「CVE-2026-33825」。研究者が「BlueHammer」と名付けた実証コードを2026年4月2日に公開し、マイクロソフトは同月の更新プログラムで修正した。それから4か月あまりが経った今も、この脆弱性は繰り返し取り上げられている。公開された実証コードが誰でも入手できる状態にあること、そして米国の政府機関が「悪用が確認された脆弱性」として登録していることが理由だ。攻撃者にとっては、防御側の主力ソフトそのものが認証情報を取り出す入口になり得る。
セキュリティ対策ソフトの「更新処理」が狙われた
CVE-2026-33825は、Microsoft Defenderに存在するアクセス制御の粒度不足（CWE-1220）に起因する特権昇格の脆弱性である。マイクロソフトが付与した共通脆弱性評価システムCVSS v3.1のベーススコアは7.8。攻撃には対象端末上の低い権限が必要だが、いったん端末に入り込んだ攻撃者であれば、利用者の操作を待たずに悪用できる。影響を受けるのはMicrosoft Defender Antimalware Platformのバージョン4.18.26030.3011より前のもので、修正は2026年4月の更新プログラムで提供された。
注目すべきは、狙われたのが「マルウェアを検知する機能」ではなく、Defenderが自分自身を更新したりマルウェアを駆除したりする過程そのものだという点だ。
「わざと検知させる」ことから始まる攻撃
セキュリティ企業Huntressの分析によると、BlueHammerはTOCTOU（Time Of Check, Time Of Use＝確認した時点と実際に使う時点のずれ）と呼ばれる競合状態を悪用する。競合状態とは、ある処理と別の処理が同時に走ることで、本来あり得ない順序が成立してしまう不具合を指す。
攻撃の流れはおおむね次のとおりだ。まず、Defenderが必ず検知するアンチウイルスのテスト用文字列をディスクに書き込み、駆除処理の一環として作られるボリュームシャドウコピー（システムの復元用スナップショット）の生成を誘発する。次に、Defenderがスキャン中に触れるファイルにロックをかけ、スキャンが進行中であることを確かめる。さらにOneDriveと同じ構造を持つ偽のクラウド同期プロバイダを登録し、Defenderがフォルダを走査した瞬間を通知として受け取る。
こうして「Defenderが何をしているか」をほぼリアルタイムで把握できるようになると、通常はごくわずかしかない競合状態の隙が、攻撃者の側で制御できるものに変わる。Huntressはこの点を、TOCTOUの前提を崩す手口として重く見ている。最終的に攻撃者が手にするのは、Windowsのアカウント情報を管理するSAM（Security Account Manager）データベースへの読み取りハンドルであり、そこからアカウントのパスワードハッシュを取り出せる状態になる。
実証コードで終わらず、実際の侵入に持ち込まれた
BlueHammerを公開した研究者は「Chaotic Eclipse（Nightmare-Eclipseとも呼ばれる）」を名乗る人物で、マイクロソフトの脆弱性開示プロセスへの不満を理由に、BlueHammer・RedSun・UnDefendという3つの特権昇格手法を相次いで公開した。Huntressが2026年4月20日に公開した報告の時点では、BlueHammerのみが修正済みで、残る2件は未修正とされていた。
Huntressは2026年4月中旬、顧客環境の調査の中でBlueHammerの悪用とみられる活動を確認している。同社によれば、この事案の初期侵入はFortiGateのSSL VPN（社外から社内ネットワークに接続するためのリモートアクセス機能）の侵害とみられ、ロシアに位置情報が紐づく接続元IPアドレスなどが確認された。侵入後は、利用者が書き込めるフォルダ（ピクチャやダウンロードの配下）に不審な実行ファイルが置かれ、`whoami /priv`や`cmdkey /list`、`net group`といった、攻撃者が手作業で打ち込む典型的な調査コマンドが実行されていた。トンネリング機能を持つとみられる不審なagent.exeも見つかっている。
もっとも、Huntressはこの事案でこれらのツールがいずれも成功したようには見えないとみており、攻撃者の習熟度は高くなかったと分析している。とはいえ、公開された実証コードが検証の域を越えて実際の侵入に持ち込まれた事実は変わらない。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年4月22日、本脆弱性を悪用が確認された脆弱性のカタログ（KEV）に追加し、政府機関に対して同年5月6日までの対応を求めている。
「パッチは自動で当たっている」を確かめないまま済ませていないか
この脆弱性への対処自体は難しくない。Defenderのマルウェア対策エンジンは標準構成であれば自動的に更新されるため、多くの環境ではすでに修正済みのはずだ。問題は、その「はず」を誰も確認していないケースがあることだろう。ネットワークから切り離された端末、長期間電源が入っていなかった予備機、更新を止めたまま運用している検証用サーバー――こうした端末は、組織の資産台帳からも漏れやすい。
もう一点、この事案が示しているのは、特権昇格の脆弱性を「侵入されてからの話」として後回しにする危うさだ。Huntressが確認した事案では、VPN機器の侵害という入口があり、そこから端末上での権限奪取と認証情報の窃取が試みられている。境界での防御をすり抜けられた後、端末の上で何が起きているかを見ていなければ、こうした手作業の調査コマンドや不審な実行ファイルの配置は素通りしてしまう。防御ソフトそのものが悪用されうるという前提に立てば、端末の挙動を記録し、後から追跡できるようにしておくことの価値は一段と大きくなる。
同じ手口に、自社は備えられていますか？