🚨 CVE-2026-50656 — Microsoft Defender "RoguePlanet"

Microsoft マルウェア対策エンジンの特権昇格の脆弱性

⚠️ 教育および防御的セキュリティ研究専用

📖 概要

CVE-2026-50656 は、Microsoft Defender が使用する Microsoft マルウェア対策エンジン に影響を与える高深刻度の 特権昇格 (EoP) 脆弱性です。

一般に RoguePlanet として知られるこの脆弱性は、不適切なリンク解決の問題 (CWE-59) に起因し、低権限のローカル攻撃者が影響を受ける Windows システム上で特権を昇格させる可能性があります。

🎯 影響

悪用に成功すると、攻撃者は以下を可能にする可能性があります：

• 標準ユーザーアカウントからの特権昇格
• 昇格されたシステム権限の取得
• 制限されたファイルへのアクセス
• 保護されたシステムリソースの変更
• システム全体の完全な侵害の可能性

🏹 攻撃ベクトル

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

🔬 技術的詳細

脆弱性クラス

CWE-59
Improper Link Resolution Before File Access
(Link Following)

このクラスの脆弱性は、特権プロセスがリダイレクト可能なファイルシステムオブジェクトとやり取りする際に発生します。リダイレクトには以下が使用されます：

• シンボリックリンク
• ハードリンク
• ジャンクションポイント
• 再解析ポイント

不適切な検証により、特権操作が攻撃者制御の場所にリダイレクトされる可能性があります。

⚙️ 影響を受けるコンポーネント

Microsoft Malware Protection Engine
mpengine.dll

使用元：

• Microsoft Defender ウイルス対策
• Microsoft Defender for Endpoint
• Microsoft Security Essentials
• その他の Microsoft セキュリティ製品

🧠 攻撃フロー

Low Privileged User
        │
        ▼
Create Link/Junction/Reparse Point
        │
        ▼
Trigger Defender Engine Operation
        │
        ▼
Privileged File Access
        │
        ▼
Privilege Escalation
        │
        ▼
SYSTEM-Level Impact

🔍 検出の機会

Windows イベントログ

監視対象：

Unexpected privilege escalation events

Defender engine anomalies

Suspicious reparse point creation

Symbolic link abuse

Microsoft Defender XDR

潜在的なハンティング指標：

DeviceFileEvents
| where ActionType contains "FileCreated"
| where FileName endswith ".lnk"

再解析ポイントの監視

PowerShell：

Get-ChildItem -Path C:\ -Recurse -Force |
Where-Object {
    $_.Attributes -match "ReparsePoint"
}

🛡️ 緩和策

公式のセキュリティ更新が展開されるまで：

ローカルアクセスの制限

ローカルログオン可能なユーザー数を減らします。

エンドポイントの強化

• 改ざん防止の有効化
• EDR の有効化
• 攻撃面の縮小ルールの有効化

ファイルシステムアクティビティの監視

監視対象：

• ジャンクションの作成
• シンボリックリンクの作成
• 再解析ポイントの変更

ベンダーパッチの適用

Microsoft のセキュリティ更新がリリースされたら直ちにインストールします。

🧪 検証チェックリスト

🔥 脅威モデリング

ATT&CK マッピング

📊 リスク評価

🚨 不審なアクティビティの兆候

異常な Defender アクティビティ

mpengine.dll
MsMpEng.exe

予期しないアクセス：

C:\Windows\System32\

ジャンクション/再解析ポイントの悪用

dir /AL /S

シンボリックリンク

dir /A:L

📚 参考文献

• Microsoft Security Response Center (MSRC)
• CVE Program
• MITRE ATT&CK
• Microsoft Defender ドキュメント

⚠️ 免責事項

このリポジトリは以下の目的で提供されています：

• セキュリティ意識向上
• 脆弱性管理
• ブルーチーム研究
• 防御的セキュリティ運用

無許可アクセス、悪用、または攻撃的な活動を目的としていません。