Microsoft Defender に特権昇格の脆弱性｜CVE-2026-41091 のリスクと対処

はじめに

2026 年 5 月 19 日、Microsoft Security Response Center（MSRC）から Microsoft Defender に関する複数のセキュリティアドバイザリが公開されました。なかでも特に注意すべきなのが、特権昇格の脆弱性 CVE-2026-41091 です。本脆弱性は 悪用が確認されており、公開と同時に CISA の KEV（Known Exploited Vulnerabilities）カタログにも追加されています。

Microsoft Defender は Windows OS に標準搭載されているセキュリティ機能であり、利用範囲は極めて広範です。今回の脆弱性は、その Defender 自体が攻撃経路となり、ローカル攻撃者が SYSTEM 権限 を奪取できるという点で深刻な意味を持ちます。本記事では、CVE-2026-41091 の技術的な仕組み、影響を受けるバージョン、修正版の適用確認方法、そして運用面での対応ポイントを整理します。

なお、Microsoft Defender 本体の基本機能や日常的な設定・運用に関しては、関連記事『Microsoft Defender 無料版の設定｜Windows 11 推奨構成と落とし穴』にまとめていますので、本記事とあわせてご活用ください。

CVE-2026-41091 の概要と CVSS 評価

CVE-2026-41091 は、Microsoft Defender の中核モジュールである Microsoft Malware Protection Engine（mpengine.dll） に存在する特権昇格の脆弱性です。低い権限を持つローカル攻撃者が、シンボリックリンクを悪用した攻撃手法によって SYSTEM 権限を奪取できます。

脆弱性の基本情報

公開されている主な情報は次のとおりです。

参考: CVE-2026-41091（Microsoft Security Response Center）
“Improper Link Resolution Before File Access (‘Link Following’)”
（ファイルアクセス前のリンク解決処理の不備（リンクフォロー））
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091

CVSS スコアと攻撃ベクトル

CVSS 3.1 のスコアは 7.8 / 6.8（基本スコア / 時間スコア）です。攻撃ベクトル文字列は次のとおりです。

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C

各メトリックの意味を実務的な観点で整理すると、次のような攻撃プロファイルが浮かび上がります。

CVSS スコア自体は 7.8（重要）ですが、「PR:L」「UI:N」「AC:L」という条件の組み合わせは、攻撃者にとって極めて扱いやすい部類 に入ります。一般ユーザー権限のある場所からの「踏み台」として、攻撃チェーンに組み込まれやすい性質を持っています。

悪用確認と CISA KEV カタログへの追加

本脆弱性は 公開時点ですでに悪用が確認されている、いわゆるゼロデイ脆弱性 です。

参考: CVE-2026-41091（Microsoft Security Response Center）
“Publicly disclosed: Yes / Exploited: Yes / Exploitability assessment: 悪用の事実を確認済み”
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091

これを受け、米国の CISA（Cybersecurity and Infrastructure Security Agency）は 2026 年 5 月 20 日付で本脆弱性を KEV（Known Exploited Vulnerabilities）カタログに追加、米連邦政府機関に対して 2026 年 6 月 3 日までの対処を要求しました。

参考: CISA Adds Seven Known Exploited Vulnerabilities to Catalog（CISA）
“CISA has added seven new vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog, based on evidence of active exploitation.”
（CISA は能動的な悪用の証拠に基づき、KEV カタログに 7 件の新たな脆弱性を追加した）
https://www.cisa.gov/news-events/alerts/2026/05/20/cisa-adds-seven-known-exploited-vulnerabilities-catalog

KEV への追加は、CVSS スコアだけでは測れない 「攻撃者が実際に使っている」という運用的な重要シグナル を意味します。日本国内の組織であっても、CISA KEV はパッチ適用優先度を判断する有力な指標として活用することを推奨します。

脆弱性の技術的な仕組み｜CWE-59「リンクフォロー」とは

本セクションでは、CVE-2026-41091 の技術的な背景と、なぜ「SYSTEM 権限奪取」につながるのかを整理します。

CWE-59 の概要

CWE-59 は 「ファイルアクセス前のリンク解決処理の不備」、通称「リンクフォロー（Link Following）」と呼ばれるカテゴリです。プログラムがファイルパスを処理する際に、シンボリックリンクやジャンクションなどの 「リンク」を経由して、本来意図していないファイルへアクセスしてしまう 脆弱性を指します。

リンクフォローの脆弱性は古典的なクラスに属しますが、「高権限プロセスがリンクを介して低権限ユーザーが指定したパスを処理する」 構造において、特権昇格の入口として悪用されやすいことが知られています。

Microsoft Defender における攻撃の流れ

Microsoft Defender は、マルウェアスキャンを行うために常時 SYSTEM 権限 で動作しています。Microsoft Malware Protection Engine（mpengine.dll）は、その中核として、ファイルのスキャン・検出・クリーニング処理を担います。

本脆弱性では、以下のような流れで攻撃が成立します。

SYSTEM 権限奪取が深刻である理由

Windows における SYSTEM は、Administrator よりさらに上位の最高権限です。SYSTEM 権限を取得した攻撃者は、レジストリ・ファイルシステム・サービス管理・他ユーザーセッションへの介入など、OS 全体に対するほぼ無制限の操作が可能 となります。

特に深刻なのは、「セキュリティ機能を停止する権限も含まれる」 という点です。攻撃者はこの権限を使って Defender 自体を無効化したり、改ざん防止機能を回避する経路を模索することも可能になります。セキュリティ機能の根幹をなす Defender が攻撃の踏み台となる構造は、防御側にとって対応の難しさを伴います。

なお、本来は改ざん防止（Tamper Protection）が SYSTEM レベルでの設定変更も含めて防止する設計です。改ざん防止の役割や設定方法については、関連記事『Microsoft Defender 無料版の設定｜Windows 11 推奨構成と落とし穴』の「改ざん防止」セクションでまとめていますので、あわせて参照してください。

攻撃チェーンの中での位置づけ

CVE-2026-41091 単体では、攻撃者は「すでにローカル権限を持っている」状態が前提です。つまり、本脆弱性は 初期侵入のためのものではなく、初期侵入後の「権限昇格フェーズ」で利用される脆弱性 に位置づけられます。

攻撃チェーンの典型的な流れは次のようになります。

1. フィッシングや別の脆弱性を経由して、低権限のユーザーシェルを取得
2. 本脆弱性を悪用して SYSTEM 権限に昇格
3. 永続化（バックドア設置、サービス登録）
4. 横展開、認証情報の窃取、ランサムウェア展開等

このため、CVE-2026-41091 への対処は 「単独で攻撃が成立しないから後回しでよい」とは扱えません。多段階攻撃の中継点として頻繁に使われる種類の脆弱性であり、悪用確認済みである以上、優先度を上げた対応を推奨します。

影響を受ける製品とバージョン

本セクションでは、CVE-2026-41091 の影響範囲、関連製品、そして同時公開された関連 CVE との関係を整理します。Microsoft Malware Protection Engine（MPE）は Defender 本体だけでなく複数の Microsoft 製エンドポイント保護製品で共通利用されているため、影響範囲は Windows Defender ユーザーだけにとどまりません。

Microsoft Malware Protection Engine の対象バージョン

影響を受けるエンジンと修正版のバージョンは次のとおりです。

参考: CVE-2026-41091（Microsoft Security Response Center）
“Last version of the Microsoft Malware Protection Engine affected by this vulnerability: 1.1.26030.3008”
“First version of the Microsoft Malware Protection Engine with this vulnerability addressed: Version 1.1.26040.8”
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091

つまり、エンジンバージョンが 1.1.26040.8 以降であれば本脆弱性に対する修正が適用済み ということになります。エンジンバージョンの確認手順は、本記事後半の「修正版の確認と適用方法」セクションで詳しく解説します。

Microsoft Malware Protection Engine を共有する製品群

Microsoft Malware Protection Engine（mpengine.dll）は、Windows Defender だけでなく、複数の Microsoft 製エンドポイント保護製品で共通利用されています。

参考: CVE-2026-41091（Microsoft Security Response Center）
“Yes, Microsoft System Center Endpoint Protection, Microsoft System Center 2012 R2 Endpoint Protection, Microsoft System Center 2012 Endpoint Protection and Microsoft Security Essentials.”
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091

具体的には、次の製品が影響範囲に含まれます。

実務上特に注意したいのは、System Center Endpoint Protection や Security Essentials が動作する古い環境 です。これらの製品はサポート終了済み、または延長サポート対象であるケースが多く、自動更新が想定通り機能していない可能性があります。閉域網内のレガシー Windows サーバや、長期間運用されている専用業務端末では、エンジンバージョンの個別確認を推奨します。

Defender が無効化されている環境での扱い

Defender を無効化している環境では、脆弱性スキャナが「脆弱」と判定するケースがあります。これについての Microsoft の見解は次のとおりです。

参考: CVE-2026-41091（Microsoft Security Response Center）
“Vulnerability scanners are looking for specific binaries and version numbers on devices. Microsoft Defender files are still on disk even when disabled. Systems that have disabled Microsoft Defender are not in an exploitable state.”
（脆弱性スキャナはデバイス上の特定のバイナリとバージョン番号を探索する。Microsoft Defender のファイルは無効化されていてもディスク上に残存する。Defender を無効化したシステムは悪用可能な状態にはない）
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091

つまり、Defender が無効化されている端末（サードパーティ製アンチウイルスがアクティブな端末を含む）では、ファイルが残っていても脆弱性は成立しない ということです。脆弱性スキャナの検知結果だけでパッチ適用優先度を判断するのではなく、Defender が実際に動作しているかどうか を判断軸に加えるのが現実的です。

ただし、サードパーティ製アンチウイルスのライセンスが期限切れになると Defender が自動的に再有効化される仕様もあります。この挙動については関連記事『Microsoft Defender 無料版の設定｜Windows 11 推奨構成と落とし穴』のトラブルシューティングセクションを参照してください。一時的に Defender を停止しているからといって、エンジン更新を完全に放置できるわけではない点には留意してください。

同時公開された関連 CVE との関係

2026 年 5 月 19 日には、CVE-2026-41091 と同時に 複数の Microsoft Defender 関連脆弱性 が公開されています。実務上はこれらをセットで把握しておくことを推奨します。

実務的に重要なポイントは次のとおりです。

CVE-2026-41091 と CVE-2026-45584 は同じエンジン（MPE）で修正される

エンジンを 1.1.26040.8 以降に更新すれば、両 CVE が同時に解消されます。

CVE-2026-45498 は別コンポーネント（Antimalware Platform）の更新が必要

エンジン更新だけでは DoS 脆弱性は解消されません。Antimalware Platform を 4.18.26040.7 以降に更新する必要があります。

2 種類の更新で対応する CVE が異なる構造

適用確認の際は、エンジンバージョンと Antimalware Platform バージョンの 両方 を点検することを推奨します。

参考: Microsoft Defender vulnerabilities exploited in the wild（Help Net Security）
“CVE-2026-41091, along a third Microsoft Defender remote code execution vulnerability (CVE-2026-45584), affect Microsoft Malware Protection Engine v1.26030.3008, and have been fixed in v1.1.26040.8.”
（CVE-2026-41091 は、3 つ目の Defender RCE 脆弱性 CVE-2026-45584 とともに Microsoft Malware Protection Engine v1.26030.3008 に影響し、v1.1.26040.8 で修正されている）
https://www.helpnetsecurity.com/2026/05/21/microsoft-defender-vulnerabilities-cve-2026-41091-cve-2026-45498/

Antimalware Platform の対象バージョン（CVE-2026-45498）

CVE-2026-45498 についても影響範囲を整理しておきます。

DoS 脆弱性は CVSS スコア自体は 4.0（中程度）ですが、「Defender 自体の動作を停止させられる」 という性質を持っています。攻撃者の視点では、Defender を停止させた上で他のマルウェアを動かす「事前の地ならし」として悪用される可能性があり、悪用確認済み（KEV 追加）の状況も踏まえると、本 CVE もあわせて対応することを推奨します。

影響範囲のまとめ

対応すべき範囲は次のように考えるとシンプルです。

1. Windows 10 / Windows 11 を利用中で、かつ Defender がアクティブな端末 → 必ず対応
2. System Center Endpoint Protection / Security Essentials を利用中の環境 → エンジン共有のため対応必須
3. サードパーティ製アンチウイルスがアクティブで Defender が無効化されている端末 → 悪用は成立しないが、Defender 復帰時を考慮しエンジン更新の状態は把握しておくことを推奨
4. Defender for Endpoint（MDE）を利用している組織端末 → Microsoft Defender ポータルから一括状況確認を推奨

修正版の確認と適用方法

本セクションでは、Microsoft Malware Protection Engine および Microsoft Defender Antimalware Platform の更新確認手順を、GUI と PowerShell の両面から解説します。Microsoft の既定動作では更新は自動で配信されますが、業務環境では「確実に配信されている」ことを点検する手順を持っておくことを推奨します。

自動更新の仕組みと既定動作

Microsoft Defender は、定義ファイル（シグネチャ）とエンジンを、それぞれ異なる頻度で更新する設計になっています。

参考: CVE-2026-41091（Microsoft Security Response Center）
“Microsoft typically releases an update for the Microsoft Malware Protection Engine once a month or as needed to protect against new threats. Microsoft also typically updates the malware definitions three times daily and can increase the frequency when needed.”
（Microsoft は通常、Malware Protection Engine の更新を月 1 回、または新しい脅威への対応に必要なタイミングでリリースする。マルウェア定義は通常 1 日 3 回更新され、必要に応じて頻度を増やすこともある）
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091

整理すると次のような頻度になります。

Windows Update が正常に動作している環境では、特別な操作なしに本脆弱性の修正が適用される設計です。一方、Microsoft 自身も「自動展開が環境で期待通りに動作しているかを定期的に確認することがベストプラクティス」と明記しており、「自動更新が動いているはず」と「自動更新が実際に最新を適用している」は別の話です。実環境では、ネットワーク制限・WSUS の構成・閉域網ポリシー・古い OS バージョンなどの要因で、自動更新が想定通り機能していないケースに頻繁に遭遇します。

Windows セキュリティ画面（GUI）での確認

1. 「スタート」→「設定」→「プライバシーとセキュリティ」→「Windows セキュリティ」→「Windows セキュリティを開く」
2. 「ウイルスと脅威の防止」をクリック
3. 画面下部の「ウイルスと脅威の防止の更新」内、「保護の更新」をクリック
4. 表示されたバージョン情報を確認

GUI からは「セキュリティ インテリジェンス バージョン」「エンジン バージョン」「プラットフォーム バージョン」が確認できます。手元の端末数が少ない場合はこの方法で十分ですが、複数台を点検する場合は次の PowerShell の方法が効率的です。

PowerShell によるバージョン確認

Defender モジュールの Get-MpComputerStatus を使うと、現在のエンジンバージョンとプラットフォームバージョンを同時に確認できます。

参考: Get-MpComputerStatus（Microsoft Learn）
“Gets the status of antimalware software on the computer.”
（コンピューター上のマルウェア対策ソフトウェアの状態を取得する）
https://learn.microsoft.com/ja-jp/powershell/module/defender/get-mpcomputerstatus

必要な情報のみを表示する

Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion, AMServiceVersion

出力イメージは次のようになります。

AMEngineVersion  AMProductVersion AMServiceVersion
---------------  ---------------- ----------------
1.1.26040.8      4.18.26040.7     4.18.26040.7

AMEngineVersion が 1.1.26040.8 以降、かつ AMProductVersion が 4.18.26040.7 以降になっていれば、CVE-2026-41091 と CVE-2026-45498 の両方への修正が適用済みです。

関連プロパティもまとめて確認する

Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion, AMServiceVersion, AntivirusSignatureVersion, AntivirusSignatureLastUpdated

AntivirusSignatureLastUpdated が直近の日時になっていれば、シグネチャの自動更新も正常に動作していると判断できます。Defender の PowerShell コマンドレットの詳細については、関連記事『Microsoft Defender 無料版の設定｜Windows 11 推奨構成と落とし穴』の「PowerShell による設定確認と変更」セクションを参照してください。

複数台を一括点検するスクリプト例

WinRM が有効な環境では、Invoke-Command でリモート実行する方法が便利です。

# 対象ホスト一覧
$Hosts = @('SRV-WIN01','SRV-WIN02','SRV-WIN03')

Invoke-Command -ComputerName $Hosts -ScriptBlock {
    $s = Get-MpComputerStatus
    [PSCustomObject]@{
        ComputerName     = $env:COMPUTERNAME
        AMEngineVersion  = $s.AMEngineVersion
        AMProductVersion = $s.AMProductVersion
        EngineFixed      = ([version]$s.AMEngineVersion  -ge [version]'1.1.26040.8')
        PlatformFixed    = ([version]$s.AMProductVersion -ge [version]'4.18.26040.7')
    }
} | Format-Table -AutoSize

EngineFixed と PlatformFixed の両方が True であれば、対象 2 CVE の修正が適用済みと判断できます。運用上は両方が True になることを確認するチェックを自動化しておくことを推奨します。

手動更新が必要なケースと手順

自動更新が正常に動作している環境では特に手動操作は不要ですが、次のようなケースでは手動更新の実行を推奨します。

• 自動更新が長期間動作していないことが確認された端末
• 閉域網・オフライン環境から戻ってきた端末
• インシデント対応の文脈で今すぐ最新化したい端末

コマンドラインからの更新

# シグネチャとエンジンの更新を実行
Update-MpSignature

実行後は Get-MpComputerStatus でバージョンを再確認する流れが現実的です。

Windows Update からの更新

「スタート」→「設定」→「Windows Update」→「更新プログラムのチェック」をクリックし、Defender 関連の更新がある場合はインストールします。完了後、Get-MpComputerStatus で閾値以上のバージョンになっていることを確認してください。

Defender for Endpoint（MDE）環境での確認

組織で MDE を利用している場合は、Microsoft Defender ポータルの「デバイス インベントリ」から、配下デバイスのエンジン・プラットフォームバージョンを一括確認できます。個別ログインせずに全社的なパッチ適用状況を把握できるため、MDE 利用環境では優先的にポータル側での確認を推奨します。

適用後の運用上の確認ポイント

パッチを適用しただけで対応完了とせず、適用後の運用面でも確認しておきたいポイントを整理します。

脆弱性スキャナが「依然として脆弱」と表示するケース

脆弱性スキャナはファイルバージョンの存在をもとに判定するため、Defender が無効化されている環境でも「脆弱」と判定するケースがあります。実運用での判断ポイントは次のとおりです。

# 動作モードの確認
Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled, RealTimeProtectionEnabled

AMRunningMode の主な値と意味は次のとおりです。

Passive Mode または SxS Passive Mode の場合は悪用が成立しない状態ですが、「無効化されているから無視」ではなく、エンジンは最新化しておく ことを推奨します。

オフライン端末・閉域網端末での留意点

WSUS / Configuration Manager 経由の配信

Defender 関連更新が配信対象に含まれているかを確認

スタンドアロン更新パッケージ

完全オフライン環境では Microsoft 提供の mpam-fe.exe 経由での更新が必要なケースあり

更新後の整合性チェック

手動配布後は必ず Get-MpComputerStatus でバージョンを点検

閉域網内端末を多数運用している組織では、「自動更新が来ないことを前提とした手動更新運用フロー」 を整備しておくことが、本件のような緊急対応時に効果を発揮します。

インシデント調査時に確認すべきイベントログ

悪用された痕跡があるかどうかの一次調査として、Windows Defender のイベントログを確認します。

• イベントビューアー →「アプリケーションとサービス ログ」→「Microsoft」→「Windows」→「Windows Defender」→「Operational」

注目すべき主なイベント ID は次のとおりです。

PowerShell でフィルタリングする場合は次のように記述します。

# 直近 7 日間のリアルタイム保護無効化・構成変更イベントを抽出
Get-WinEvent -LogName 'Microsoft-Windows-Windows Defender/Operational' `
  | Where-Object { $_.Id -in 5001,5004,5007 -and $_.TimeCreated -ge (Get-Date).AddDays(-7) } `
  | Select-Object TimeCreated, Id, Message `
  | Format-Table -AutoSize

特に注目すべきは イベント ID 5001（リアルタイム保護が無効化された）と 5007（Defender 構成変更） です。CVE-2026-41091 を利用して SYSTEM 権限を取得した攻撃者は、その後 Defender 自体を無効化する操作に移る可能性が高いため、これらのイベントが想定外のタイミングで記録されていないかを確認することを推奨します。

CISA KEV の対応期限を社内タイムラインに反映する

CISA KEV カタログでは、米連邦政府機関に対する対応期限が 2026 年 6 月 3 日 に設定されています。日本国内の民間組織には法的拘束力はありませんが、KEV カタログの期限は事実上「業界標準のパッチ適用 SLA」として機能している側面があります。社内のパッチ管理ポリシーに照らして、KEV 追加 CVE には優先順位を上げた SLA を設定しておくことを推奨します。

参考として、社内向けの簡易的な対応フロー例は次のとおりです。

1. 脆弱性公開から 24 時間以内: 影響範囲の洗い出し（対象 OS、対象端末数）
2. 公開から 3 営業日以内: 本記事の PowerShell スクリプトで未適用端末を抽出
3. 公開から 7 営業日以内: 未適用端末への手動更新を完了
4. 公開から 14 営業日以内: イベントログの異常チェックを完了し、対応クローズ

まとめ

本記事では、Microsoft Defender に存在する特権昇格の脆弱性 CVE-2026-41091 について、技術的な仕組みから実務的な対応手順までを整理しました。

• CVE-2026-41091 は CVSS 7.8 の特権昇格脆弱性で、ゼロデイとして悪用が確認済み、CISA KEV にも追加されている。
• 脆弱性の原因は CWE-59（リンクフォロー）で、低権限ユーザーから SYSTEM 権限への昇格に悪用される。
• 影響は Defender 本体だけでなく、System Center Endpoint Protection 等の MPE 共有製品にも及ぶ。
• 同時公開の CVE-2026-45498（DoS）と CVE-2026-45584（RCE）はコンポーネントが異なり、エンジン更新と Antimalware Platform 更新の両方が必要
• PowerShell の Get-MpComputerStatus で AMEngineVersion（1.1.26040.8 以降）と AMProductVersion（4.18.26040.7 以降）の両方を点検することで修正適用を確認できる。
• 適用後は AMRunningMode の確認、イベントログの異常チェック、閉域網端末の個別点検を推奨する。

以上、最後までお読みいただきありがとうございました。