Microsoftは2026年5月20日にCVE情報を公開し、翌21日に複数のセキュリティメディアがDefenderにおける2件の脆弱性の実環境での悪用を報じた。
1件目のCVE-2026-41091はCVSSスコア7.8で、ローカルでの権限昇格によりSYSTEM権限の取得を許す。
2件目のCVE-2026-45498はサービス拒否の脆弱性で、Microsoft評価のCVSSは4.0、NVDの独自評価では7.5である。
両者はMicrosoft Defender Antimalware Platformのバージョン1.1.26040.8および4.18.26040.7で修正済みである。米国CISAは両CVEをKEVカタログに追加し、連邦民間行政機関(FCEB)に2026年6月3日までの修正適用を義務付けた。先週公表されたオンプレミス版Exchange ServerのCVE-2026-42897(CVSSスコア8.1)と合わせ、悪用が確認されたMicrosoftの脆弱性は1週間で計3件となった。
From: 
Microsoft Warns of Two Actively Exploited Defender Vulnerabilities
【編集部解説】
今回の発表で最も注視すべきは、個別の脆弱性そのものよりも「わずか1週間でMicrosoft製品の悪用確認済み脆弱性が3件」という時系列の重みです。Exchange Serverの問題(CVE-2026-42897)に続き、本来は防御の最前線であるDefenderそのものが、攻撃者の踏み台となる構図が明らかになりました。攻撃者の関心が、Microsoftの基幹的なプラットフォーム製品群へと収束しつつあるサインと読み取れます。
特に深刻なのが、CVE-2026-41091の構造的な皮肉です。Defenderのアンチマルウェアサービスは検出・除去のためにWindows上で最高権限であるSYSTEMとして動作しています。その「守り手」自身に欠陥があれば、攻撃者から見れば最も価値の高い踏み台になります。Microsoftの公式説明にある「リンクフォロー(link following)」とは、技術分類CWE-59にあたるもので、シンボリックリンクやハードリンクの追跡を悪用する古典的な手法です。
一般的なリンクフォロー脆弱性の悪用例として理論上想定されるのは、次のようなシナリオです。攻撃者が一般ユーザー権限で侵入した後、機密ファイル(例えばパスワードハッシュを格納するSAMファイルなど)へのシンボリックリンクを細工し、特権プロセスにそれを「踏ませる」ことで、SYSTEM権限による読み取りや書き換えを試みる――こうした典型的パターンが知られています。現時点でMicrosoftは具体的な攻撃手法を公開していませんが、低権限から最上位権限への跳躍が、ユーザー操作なしで実現しうる点が本脆弱性の本質的な脅威です。
影響範囲も見逃せません。複数の海外メディアおよびMicrosoftのサポート情報によれば、脆弱な部品であるmpengine.dll(Microsoft Malware Protection Engine)はDefender単体に閉じておらず、Microsoft System Center Endpoint Protection、Microsoft System Center 2012 R2 Endpoint Protection、Microsoft System Center 2012 Endpoint Protectionといった旧来のMicrosoft製エンドポイント保護製品でも共通利用されてきた中核コンポーネントです。古い環境を残す組織ほど、対応漏れのリスクが大きくなります。
なお、海外の一部メディアでは、Nightmare Eclipseと名乗る研究者がGitHubで公開した「RedSun」「UnDefend」と呼ばれる実証コードとの関連を指摘する報道もあります。ただしMicrosoftの公式アドバイザリではこれらに言及がなく、現時点では憶測の段階にとどまる点を申し添えておきます。
もう一つの脆弱性CVE-2026-45498はサービス拒否(DoS)で、Microsoftが付与したCVSSスコアは4.0と相対的に低めです。一方でNVD(米国脆弱性データベース)は独自評価として7.5(High)を付与しており、評価機関により深刻度の見方に大きな差があります。いずれにせよ「Defenderを機能停止させられる」ことの意味は数値以上に重く、無防備な状態を一時的に作り出し、ランサムウェアの本体投下やラテラルムーブメント(横展開)を成功させるための”露払い”として使われる可能性があると考えられます。
規制面では、CISAが両CVEをKEVカタログに加え、米連邦民間行政機関(FCEB)に2026年6月3日までの修正適用を義務付けた点が重要です。KEV登録は事実上「すでに攻撃に使われているという公的な確認」であり、米政府機関の対応期限は民間企業や日本国内の組織にとっても、対応優先度を判断する強力な指標になります。
同時にKEVに追加された2008年から2010年のIE・DirectX・Windowsの脆弱性、そしてAdobe Acrobat/Readerの古い欠陥にも注目すべきでしょう。15年以上前のバグが「現役の攻撃手段」として再評価されている事実は、レガシー資産を抱える組織の現実的なリスクを物語っています。
最後に読者の皆さまに実務的にお伝えしたいのは、過度に慌てる必要はないということです。Microsoftが明記している通り、Defenderの定義ファイルとエンジンは原則として自動更新されます。一般的なWindows個人ユーザーの多くは、すでに対策版に切り替わっている可能性が高いといえます。一方で、企業の管理端末・オフラインで運用される機器・特権ユーザーのワークステーションについては、Antimalware ClientVersionの番号が「1.1.26040.8」および「4.18.26040.7」以上になっているかの確認を強く推奨します。
長期的視点で言えば、「守るためのソフトウェアそのものが攻撃面になる」傾向は、エンドポイント保護製品が高度化・複雑化するほど避けがたい構造的課題です。AIによる脆弱性発見が加速する時代において、防御製品ベンダーは”攻撃を受ける前提”でのアーキテクチャ設計と、より迅速なパッチ供給体制を問われ続けることになるでしょう。
【用語解説】
CVE(Common Vulnerabilities and Exposures)
公開されたソフトウェア脆弱性に一意の識別番号を付与する国際的な制度である。MITRE社が運営し、世界中の研究者や企業が共通言語として利用している。
CVSS(Common Vulnerability Scoring System)
脆弱性の深刻度を0.0〜10.0の数値で示す業界標準の指標である。攻撃難易度、必要権限、影響範囲などを総合評価する。7.0以上がHigh、9.0以上がCriticalに分類される。なお同一CVEでも、評価機関(MicrosoftなどのCNAとNVD)によりスコアが異なる場合がある。
SYSTEM権限
Windowsにおける最上位の権限レベルであり、管理者(Administrator)よりもさらに強い。OSの中核処理を担う特殊アカウントで、これを奪われると事実上システム全体が掌握される。
リンクフォロー(link following / CWE-59)
プログラムがファイルを開く前にシンボリックリンクなどの「参照先」を適切に検証しない欠陥の総称である。攻撃者は意図しないファイルへ処理を誘導し、権限を悪用できる。
シンボリックリンク
別のファイルやフォルダを指し示す特殊なファイルの仕組みである。Windows・Linux双方に存在し、本来は利便性のための機能だが、検証不備があると攻撃の起点となる。
SAMファイル(Security Account Manager)
Windowsのローカルユーザー名およびパスワードハッシュを格納する機微なシステムファイルである。SYSTEM権限がなければ通常は読み取れない。
DoS(Denial of Service / サービス拒否)
対象システムを正常に動作させなくする攻撃の総称である。サーバーを停止させる古典的な使い方に加え、近年はセキュリティ製品を機能不全に陥らせる「露払い」としても用いられる。
ラテラルムーブメント(横展開)
初期侵入した1台の端末を足掛かりに、社内ネットワーク内の他の端末・サーバーへと攻撃を広げる手口である。標的型攻撃やランサムウェア展開の典型的フェーズとされる。
Microsoft Malware Protection Engine(mpengine.dll)
Microsoftの各種マルウェア対策製品が共通して用いるスキャンエンジンの本体である。CVE-2026-41091はこの部品(バージョン1.1.26030.3008以前)に存在し、Defenderだけでなく旧来のSystem Center Endpoint Protectionなどでも利用されてきた。
Microsoft Defenderアンチマルウェアサービス
Defenderのリアルタイム監視・保護を担う中核サービスである。SYSTEM権限で常時動作しており、本サービスを停止・誤動作させることはセキュリティ態勢に直接的な影響を与える。
KEV(Known Exploited Vulnerabilities)カタログ
米CISAが管理する「実際の攻撃で悪用が確認された脆弱性」の公式リストである。掲載は事実上の最優先対応指標となり、米国連邦機関には期限付き修正義務が課される。
FCEB(Federal Civilian Executive Branch)
米国連邦政府の民間行政機関群を指す総称である。国防・情報機関を除く約100の連邦組織が含まれ、CISAの指令(BOD)に従う義務を負う。
【参考リンク】
Microsoft Security Response Center — CVE-2026-41091(外部)
Microsoft公式の脆弱性アドバイザリ。CVE-2026-41091のCVSSや影響製品、修正版情報を網羅する一次情報源。
Microsoft Security Response Center — CVE-2026-45498(外部)
DoS脆弱性CVE-2026-45498に関するMicrosoft公式アドバイザリ。修正版と攻撃ベクトル詳細を記載。
NVD — CVE-2026-41091(外部)
米国脆弱性データベース(NVD)による評価。CVSS 7.8、CWE-59、KEV登録状況などの公的データを参照可能。
NVD — CVE-2026-45498(外部)
NVDによるCVE-2026-45498の評価。Microsoft評価4.0に対し、NVDは独自評価で7.5(High)を付与している。
CISA Known Exploited Vulnerabilities Catalog(外部)
米CISAが運用する悪用確認済み脆弱性の公式リスト。世界中の組織が修正優先度の判断材料に活用する。
CISA Alert(2026年5月20日付KEV追加発表)(外部)
本件2件を含む7件の脆弱性をKEVに追加した際のCISA公式アラート。FCEB対応期限と背景を記載。
【参考記事】
Microsoft warns of new Defender zero-days exploited in attacks(BleepingComputer)(外部)
CVE-2026-41091が影響するMicrosoft Malware Protection Engine 1.1.26030.3008以前の具体的バージョンを明記。
Microsoft patches two zero-day flaws in Defender(CSO Online)(外部)
mpengine.dllの所在を特定し、System Center等への波及範囲やNightmare Eclipse関連の憶測まで詳述。
Microsoft Defender vulnerabilities exploited in the wild(Help Net Security)(外部)
両CVEとも公開済み・実環境悪用を認定するMicrosoft公式の状況と、CISAのKEV追加意義を解説。
Microsoft Defender Zero-Day Vulnerabilities Actively Exploited in the Wild(GBHackers)(外部)
CVSS 7.8がCWE-59に分類されること、APTやランサムウェア作戦での権限昇格悪用の構造を明示。
Microsoft Malware Protection Engineの展開に関する情報(Microsoftサポート)(外部)
Malware Protection EngineがDefenderや旧System Center Endpoint Protectionに共通利用されてきた経緯の一次情報。
【関連記事】
「守る側」が繰り返し狙われる理由｜Trellix ソースコードリポジトリ侵害
2026年5月6日公開。「守るためのソフトが攻撃面になる」という本記事と同一の編集軸でセキュリティベンダー自身の侵害を考察した記事。
EDRを「最初の標的」にする—QilinとWarlockが示すランサムウェアの新しい戦略
2026年4月12日公開。エンドポイント保護製品を攻撃者がまず無力化しにくる潮流を、ランサムウェア事案を通じて解説。
Outlook ゼロクリック脆弱性 CVE-2026-40361｜メール閲覧だけで企業が侵害されるリスク
2026年5月14日公開。直近のMicrosoft脆弱性報道として、本記事と時系列で並ぶ姉妹記事。
【編集部後記】
「守ってくれているはずのソフトが、攻撃の入り口になる」――今回のニュースは、私たちのセキュリティ感覚を少し揺さぶる出来事ではないでしょうか。皆さんは普段、Defenderのバージョン番号まで意識されますか。私自身、これを機に手元のPCの Antimalware ClientVersion を確認してみました。完璧な防御は存在しない時代だからこそ、「自動更新されているはず」という信頼に、ときどき自分の目で答え合わせをする習慣を、一緒に育てていけたら嬉しく思います。
少し振り返ると、この事案には伏線がありました。2026年4月20日、当サイトでは「Microsoft Defenderゼロデイ『BlueHammer』ら3件が悪用中」として、Chaotic Eclipse(別名Nightmare-Eclipse)を名乗る研究者がGitHubで公開した3件のPoC——BlueHammer、RedSun、UnDefend——をお伝えしました。当時、BlueHammerは4月のPatch Tuesdayで修正済みだったものの、RedSun(リンクフォロー悪用によるSYSTEM権限取得)とUnDefend(Defender定義更新を妨害するDoS型攻撃)はパッチ未提供のまま残されていました。今回Microsoftが正式CVE採番のうえ修正版を提供した2件の脆弱性は、技術的特徴がこの未パッチ2件と極めて近く、ようやく公式な”答え合わせ”の局面に至った可能性があります。Microsoft公式は明言していないため断定は避けますが、4月から5月にかけての一連の動きを、当サイトの過去記事と合わせて読み返していただくと、攻撃者と防御側ベンダーの非対称な時間軸が立体的に見えてくるはずです。
