CVE-2026-69414 ShieldBreak｜影響確認と暫定対応

はじめに

Microsoft Defender が利用する Microsoft Malware Protection Engine に、ローカルの低権限ユーザーが SYSTEM 権限へ昇格できる脆弱性 CVE-2026-69414（通称 ShieldBreak）が公開されました。2026 年 8 月 12 日に PoC が公開され、8 月 14 日に Microsoft が CVE を採番していますが、本稿執筆時点（2026 年 8 月 21 日）で修正版は提供されていません。

運用側から見て扱いにくいのは、危険度そのものよりも「影響有無を判定する材料が足りない」点です。Microsoft は影響を受けるエンジンのバージョン範囲を公開しておらず、いつもの「修正版と現在のバージョンを比較する」という手順が使えません。

結論として、CVE-2026-69414 はネットワーク越しに SYSTEM を奪取される種類の脆弱性ではなく、攻撃者が既に低権限でコードを実行できる状態を前提とする権限昇格の脆弱性です。CISA の SSVC 評価でも Exploitation は「poc」（PoC 段階）とされ、KEV には掲載されていません。一方で Technical Impact は「total」と評価されており、初期侵入を許した場合の被害は端末の全面的な掌握につながるため、修正版待ちの期間は初期侵入対策と Defender プロセス周辺の監視で補う判断が現実的です。

CVE-2026-69414（ShieldBreak）で公開されている内容

まず、一次情報として確定できる範囲を整理します。ここを固めておくと、報道ごとに表現が揺れる部分に振り回されずに済みます。

CVE レコードに記載されている事実

以下は CVE Program に登録されている CVE レコード（CNA: Microsoft、最終更新 2026 年 8 月 20 日）から確認できる内容です。

参考: CVE-2026-69414（Microsoft Security Response Center）
“Microsoft is aware of an elevation of privilege in the Microsoft Malware Protection Engine”
（Microsoft は、Microsoft Malware Protection Engine における特権昇格を認識しています）
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-69414

MSRC の Update Guide 側では、これに加えて Publicly Disclosed が「Yes」、Exploited が「No」（8 月 14 日時点）、Exploitability Assessment が「Exploitation More Likely」、深刻度が「Important」と掲載されていると複数のセキュリティメディアが一致して報じています。MSRC のページは随時更新されるため、参照時点で直接確認することをおすすめします。

最も実務に影響するのは、影響製品の欄が「Microsoft Malware Protection Engine」とだけ記載され、バージョン範囲が示されていない点です。 後述するとおり、この状態では端末のエンジンバージョンから影響有無を判定できません。

CVSS ベクターと SSVC の読み分け

CVSS のベーススコアは 7.8 ですが、この記事の判断材料として重要なのはベースメトリクスよりも周辺の情報です。

• AV:L / PR:L / UI:N: ローカルからの攻撃で、低権限アカウントが必要。ユーザー操作は不要
• C:H/I:H/A:H: 成功した場合の影響は機密性・完全性・可用性いずれも高
• E:P: 悪用コードの成熟度は Proof-of-Concept（PoC が存在する段階）
• RC:C: 報告内容は確認済み

一方で、同じベクターには RL:O（Official Fix、公式修正あり）が含まれています。しかし CVE の説明文と MSRC の記載はいずれも修正版を準備中としており、影響バージョン範囲も未記載です。参考として RoguePlanet（CVE-2026-50656）側は、修正版 1.1.26060.3008 が affected 範囲から確定できるにもかかわらず RL:U（Remediation Level: Unavailable）が付与されています。CVSS の一時的指標だけで修正版の有無を判断せず、MSRC の記載内容と affected の版数情報で判断することをおすすめします。

CISA-ADP の Vulnrichment が付与した SSVC 評価（2026 年 8 月 17 日時点）は以下のとおりです。

CISA KEV カタログには、本稿執筆時点で CVE-2026-69414 は掲載されていません。参考値として OpenCVE が表示する EPSS は 0.00227（2026 年 8 月 18 日時点）です。

研究者の主張と Microsoft の公式情報の違い

PoC は GitHub アカウント MSNightmare（報道では Nightmare Eclipse として言及）のリポジトリで公開されています。リポジトリの作成日時は 2026 年 8 月 11 日（UTC）で、報道の多くは公開日を 8 月 12 日と伝えています。

研究者自身が README で述べている内容は次のとおりです。

• RoguePlanet（CVE-2026-50656）の修正を回避するものである
• PoC は Windows 11 25H2（Canary チャネル含む）と Windows Server 2025 でテストした
• 成功率は 100% と主張
• Windows 10 および対応するサーバー エディションは PoC が対応していないが、ShieldBreak の影響は受けると主張

参考: ShieldBreak リポジトリ README（MSNightmare）
“Please note that Windows 10 (and respective server editions) are not currently supported”
（Windows 10 および対応するサーバー エディションは現在サポートされていない点にご留意ください）
https://github.com/MSNightmare/ShieldBreak

ここで区別しておきたいのは次の 2 点です。

1. PoC で動作確認された OS と、Microsoft が示す影響範囲は別の情報

Microsoft は OS 単位ではなく Microsoft Malware Protection Engine を影響製品として記載しており、バージョン限定もありません。したがって「Windows 11 25H2 と Windows Server 2025 だけが対象」とは読み取れません。

2. 成功率や Windows 10 への影響は、いずれも研究者の主張

Microsoft が公式に確認した内容ではありません。

なお、攻撃の成立に Microsoft Defender が有効である必要があるかについては、複数の第三者報告が「Defender が有効であることが前提とみられる」と伝えていますが、Microsoft の一次情報では確認できません。本稿では前提条件として断定せず、Defender が稼働している環境を優先的に確認する対象として扱います。

CVE-2026-69414 のリスクをどう評価するか

本節では、RoguePlanet との関係を踏まえたうえで、この脆弱性を優先度判断のどこに置くかを整理します。

RoguePlanet（CVE-2026-50656）との時系列

ShieldBreak は「RoguePlanet の修正を回避するもの」として公開された経緯があるため、両者の関係を押さえておくと、社内説明やチケット管理での扱いを決めやすくなります。

7 月のエンジン更新では対処にならない理由

技術的な差分として、CVE レコード上の CWE が異なる点は押さえておく価値があります。

研究者は ShieldBreak を RoguePlanet の修正回避として説明していますが、独立した研究者からは、両者が異なる仕組みに依拠しているとの指摘も出ています。CWE の分類が異なることは、この指摘と整合する材料の 1 つです。

運用上の結論は、どちらの解釈を採るかに関わらず同じになります。7 月のエンジン更新（1.1.26060.3008 以降）が適用済みであることは、CVE-2026-69414 への対処が済んでいることを意味しません。 脆弱性管理台帳では 2 件を別チケットとして分離し、RoguePlanet は「対処済み」、ShieldBreak は「ベンダー修正待ちの例外扱い」として管理することをおすすめします。

攻撃チェーンにおける位置づけ

「ローカルの脆弱性だから優先度は低い」と機械的に判断すると、攻撃チェーン全体での位置づけを見落とします。CVE-2026-69414 が使われるとすれば、次のような流れの中の 1 ステップです。

初期侵入（フィッシング、脆弱な公開資産、正規アカウントの窃取など）
   ↓
一般ユーザー権限でのコード実行
   ↓
CVE-2026-69414（ShieldBreak）による権限昇格
   ↓
SYSTEM 権限の取得（資格情報の窃取、セキュリティ製品の無効化、横展開）

SSVC の Technical Impact が「total」と評価されているのは、この最後の段に到達したときの影響を指しています。ローカル脆弱性の優先度は、攻撃者が最初の段に到達する可能性をどう見積もるかで決まります。ローカル特権昇格が攻撃チェーンで果たす役割については、関連記事『Microsoft Defender に特権昇格の脆弱性｜CVE-2026-41091 のリスクと対処』でも整理していますので、あわせて参照いただけます。

PoC 公開と実悪用は別の事実

以下の 4 つは別々の事実であり、混同しないことをおすすめします。

「PoC がある」ことと「実際に悪用されている」ことは異なります。Exploitability Assessment はあくまで Microsoft の見通しであり、悪用の確認を意味しません。

CISA BOD 26-04 を参考にする場合の注意

2026 年 6 月 10 日に公開された CISA の BOD 26-04 は、資産の公開状況、KEV への掲載有無、攻撃の自動化可能性、技術的影響という 4 つの変数から対応期限を決める枠組みです。最短の 3 日という期限は「インターネットに公開」かつ「KEV 掲載」かつ「自動化可能」かつ「全面的な掌握」という組み合わせに対して適用され、条件が下がるにつれて 14 日、60 日、次回のシステム更新時までと段階的に緩和されます。

参考: BOD 26-04: Prioritizing Security Updates Based on Risk（CISA）
“The timelines for each asset are dynamic as facts change”
（各資産の期限は、事実の変化に応じて動的に変わります）
https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk

CVE-2026-69414 は現時点で KEV 未掲載、SSVC の Automatable は「no」、そして影響を受けるのは通常インターネットに直接公開されないエンドポイント上のコンポーネントです。この組み合わせは最短の期限帯には該当しないため、「14 日以内の対応が求められる」と一律に読み替えないことをおすすめします。 また BOD 26-04 の法的な適用対象は米国連邦政府の行政機関であり、日本企業に直接の義務を課すものではありません。社内の優先度判断に 4 変数の考え方を借用する分には有用ですが、期限日数をそのまま持ち込む使い方は避けたほうが無難です。

自環境への影響確認フロー

修正版が未提供の状況では、確認作業の目的が通常と異なります。「対処済みかどうか」ではなく、「修正版が出たときに真っ先に適用すべき端末はどれか」を洗い出す作業になります。

1. Microsoft Defender / Malware Protection Engine を利用しているか（第三者製 AV に切り替えている端末は対象外の可能性）
2. Defender が現在アクティブに動作しているか
3. Microsoft が示す影響対象に該当するか（現時点ではバージョン範囲が未公開）
4. 修正版 Engine / Platform が公開済みか
5. 未公開の場合、Microsoft 公式の Mitigation / Workaround があるか
6. 初期侵入対策、アプリケーション制御、監視を強化する
7. Microsoft の更新公開後にバージョンを再確認する

Defender の稼働状態を確認する

手順 1 と 2 は PowerShell のGet-MpComputerStatusで確認できます。このコマンドレットは Microsoft Learn の Defender モジュールに掲載されている公式のものです。

Get-MpComputerStatus | Select-Object AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled, AMProductVersion, AMEngineVersion

今回の判定に有用な項目に絞ると、次のようになります。

参考: Microsoft Defender Antivirus in Windows Overview（Microsoft Learn）
“Normal means Microsoft Defender Antivirus is running in active mode”
（Normal は、Microsoft Defender ウイルス対策がアクティブモードで動作していることを示します）
https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-antivirus-windows

第三者製のウイルス対策製品を導入している端末では AMRunningMode が Passive Mode となる場合があります。Defender の通常構成や既定の動作については、関連記事『Microsoft Defender 無料版の設定｜Windows 11 推奨構成と落とし穴』で扱っていますので、構成の前提を確認したい場合に参照いただけます。

バージョンから影響有無を判定できない点

手順 3 で行き止まりになる点は、あらかじめ関係者に共有しておくことをおすすめします。CVE レコードの affected は「Microsoft Malware Protection Engine」のみで、versions は指定なしの状態です。RoguePlanet のように「1.1.26060.3008 未満が影響」という形式の情報が出ていないため、AMEngineVersionの値を見ても、その端末が影響を受けるかどうかを判定する根拠にはなりません。

したがってこの段階でのAMEngineVersionの取得は、影響判定ではなく「修正版が公開されたときに比較するためのベースライン取得」として位置づけるのが実態に合っています。資産管理台帳やスクリプトの実行結果として、取得日時とあわせて保存しておくと、修正版公開後の突合が短時間で済みます。

パッチ未提供の期間に検討できる対応

まず前提として、Microsoft は CVE-2026-69414 に対する公式の Mitigation / Workaround を公開していません。 CVE レコードにも該当する記載はありません。Defender を無効化する方法は Microsoft が回避策として示しておらず、マルウェア対策そのものを失うため、対応策として採用する合理性は乏しいと考えられます。

そのうえで、この期間に検討できるのは補完的な措置です。以下はいずれもCVE-2026-69414 そのものを修正するものではなく、攻撃チェーンの前段（初期侵入）と後段（権限昇格後の活動）のリスクを下げる位置づけである点を、社内説明でも明確にしておくことをおすすめします。

最小権限運用の見直し

一般ユーザーが管理者権限を常用していないか、ローカル管理者権限の付与範囲を確認する

アプリケーション制御

WDAC や AppLocker などで、未署名・未承認の実行ファイルがユーザー領域から起動されることを制限する

EDR による監視

ローカルでの不審なコード実行、権限昇格を示唆する挙動の検知ルールを確認する

Defender プロセス周辺の監視

MsMpEng.exeから想定外の子プロセスが生成されていないか、クラウドファイルのハイドレーション処理に不自然な挙動がないかを観測対象に加える

ログの外部保全

SYSTEM 権限を取得した攻撃者はローカルログを改変できるため、端末外の SIEM へ転送されているかを確認する

MSRC ページの監視担当を決める

修正版の公開を検知する責任者を明示し、通常の Defender エンジン更新とは別に追跡する

第三者ベンダーが独自の緩和策や仮想パッチを提供している場合もあります。Qualys は TruRisk Eliminate で CVE-2026-69414 向けの緩和策を提供していると案内しています。こうした選択肢は既に該当製品を導入している環境では有効な補完になり得ますが、Microsoft 公式の対策と同列に扱わないこと、および唯一の対応手段として位置づけないことをおすすめします。 修正版が公開された後は、あらためて公式更新の適用が必要になります。

修正版が公開されたあとに確認すること

Microsoft の修正が Windows の累積更新プログラムではなくエンジン更新として提供される可能性が高い点は、事前に押さえておく価値があります。RoguePlanet の修正も、累積更新ではなく Malware Protection Engine のバージョン更新として提供されました。

参考: Microsoft Defender Antivirus security intelligence and product updates（Microsoft Learn）
“Engine updates are included with security intelligence updates and are released monthly”
（エンジン更新はセキュリティ インテリジェンス更新に含まれ、毎月リリースされます）
https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-antivirus-updates

修正版が公開された際の確認手順は次の流れになります。

# 更新の取得
Update-MpSignature

# 更新後の確認
Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion, AMRunningMode, RealTimeProtectionEnabled

Update-MpSignatureおよびGet-MpComputerStatusは、いずれも Microsoft Learn の Defender モジュールに掲載されている公式のコマンドレットです。

参考: Defender Module（Microsoft Learn）
“Update-MpSignature: Updates the antimalware definitions on a computer”
（Update-MpSignature は、コンピューター上のマルウェア対策定義を更新します）
https://learn.microsoft.com/en-us/powershell/module/defender/

なお、エンジンの月次更新が自動的に適用されたとしても、それが CVE-2026-69414 の修正を含むとは限りません。修正を含むバージョンが MSRC 側で明示されるまでは、エンジンが最新であることをもって対処済みと判断しないことをおすすめします。

まとめ

CVE-2026-69414（ShieldBreak）は、Microsoft Defender が利用する Malware Protection Engine のローカル特権昇格の脆弱性で、本稿執筆時点で修正版が提供されていません。影響バージョン範囲も公開されていないため、通常のバージョン比較による影響判定が成立しない点が運用上の難所です。修正版を待つ期間は、Defender の稼働状況とベースラインを押さえたうえで、初期侵入対策と監視で補う判断が現実的です。

• Malware Protection Engine のローカル特権昇格、CVSS 7.8
• Microsoft は影響バージョン範囲と修正版をいずれも未公開
• SSVC 評価は Exploitation が poc、Technical Impact が total
• CISA KEV には未掲載、実悪用は 8 月 14 日時点で確認されず
• 7 月のエンジン更新 1.1.26060.3008 は本件の対処にならない
• 公式の Mitigation / Workaround は未提供、Defender 無効化も非推奨
• 修正版公開後に MSRC 記載版数とAMEngineVersionを突合

以上、最後までお読みいただきありがとうございました。