🔨 CVE-2026-33825: BlueHammer

Microsoft Defender 特権昇格

📌 概要

CVE-2026-33825 は、"BlueHammer" と呼ばれる、Microsoft Defender の脅威修復エンジンにおける重大なローカル特権昇格 (EoP) の脆弱性です。

🚨 重大な影響: 最小限の権限を持つユーザーが、完全にパッチ適用済みの Windows 10 および 11 システムで SYSTEM レベルの完全なアクセス権を取得できる可能性があります。

発見: 2026年4月7日に、Microsoft が公式パッチを公開する前に、"Chaotic Eclipse" という別名の研究者によって Zero-Day として公に公開されました。

📊 深刻度の詳細 (CVSS v3.1)

🔍 技術分析: BlueHammer 攻撃

この脆弱性は、Defender のマルウェア削除エンジン内の TOCTOU (Time-of-Check to Time-of-Use) 競合状態 に基づいています。

悪用フロー:

1️⃣ アクティベーション
   └─ 攻撃者が Defender がマルウェアとして検出するファイルを配置する

2️⃣ 一時停止 (Oplock)
   └─ Defender が修復 (削除または隔離) を開始している間に、
      エクスプロイトは NTFS のオポチュニスティックロック (oplock) を使用して
      重要なポイントで操作を一時停止する

3️⃣ リダイレクション
   └─ 一時停止中に、エクスプロイトは NTFS のジャンクションポイントを作成し、
      Defender のパスをシステムの重要なファイル
      (例: C:\Windows\System32) にリダイレクトする

4️⃣ 実行
   └─ ロックを解放すると、Defender (SYSTEM 権限) が
      リダイレクトされた場所にファイルを書き込む、または上書きする
   └─ 結果: 正規のバイナリが悪意のあるコードに置き換えられる、
             または機密ファイル (SAM、パスワード) が抽出される

💻 影響を受けるシステムとコンポーネント

🛠️ 修復と緩和策

Microsoft は、2026年4月の Patch Tuesday でこの脆弱性を修正しました。

✅ 1. 自動更新

他のパッチとは異なり、Microsoft Defender の更新は通常、署名プラットフォームを通じて自動的に適用されます。

推奨アクション:

• プラットフォームのバージョンが ≥ 4.18.26050.3011 であることを確認する
• Defender の自動更新を有効にする

✅ 2. セキュリティ検証

• Microsoft の Security Update Guide を参照して、システムの状態を確認する
• Nessus (プラグイン ID: 306740) などの脆弱性スキャナーを使用して、ネットワーク内の未パッチのマシンを特定する
• インフラストラクチャ内で Defender のバージョンの定期的な監査を実行する

🔗 参考情報とリソース

• 📄 詳細な技術分析 — Picus Security
• 🚨 早期警告 — INCIBE-CERT
• 📋 2026年4月のパッチ概要 — SecurityWeek
• 🔐 Security Update Guide — Microsoft Official

⚖️ 免責事項

⚠️ この文書は、教育およびセキュリティ研究のみを目的としています。

明示的な許可なくシステム上でエクスプロイトを実行しないでください。

悪用技術の不正使用は違法であり、重大な法的結果を招く可能性があります。

最終更新: 2026年4月 | ステータス: パッチ適用済み ✅