Microsoft Defenderの修正回避PoC「ShieldCrash」公開　ShieldBreak（CVE-2026-69414）対策後もSYSTEM権限で任意ファイル読み取りと研究者主張

セキュリティ研究者「Nightmare Eclipse（MSNightmare）」は2026年9月8日、Microsoft Defenderの脆弱性「ShieldBreak」（CVE-2026-69414）に対するMicrosoftの修正を回避できるとする新たなPoC「ShieldCrash」をGitHubで公開しました。

MicrosoftはShieldBreakについて、Microsoft Malware Protection Engine 1.1.26080.3未満を影響対象としており、修正版に相当するエンジン1.1.26080.3を9月1日に公開しています。

これに対してNightmare Eclipseは、ShieldCrashでは9月時点の更新済みWindowsでも、ShieldBreakと同じ問題につながる未修正の経路が残っていると主張しています。公開されたPoCは、SYSTEM権限で任意ファイルを読み取れることを示す「skeleton PoC」と説明されています。

ただし、9月9日時点でMicrosoftはShieldCrashを新たな脆弱性として公式認定しておらず、新しいCVE番号、修正版、回避策も公表していません。CrowdStrikeもShieldCrashをMicrosoft Defenderの公開済みゼロデイとして取り上げていますが、研究者の主張は現在検証中としています。

今回の記事ではPoCの存在と影響を整理しますが、悪用可能なコード、ビルド方法、再現手順は記載しません。

ShieldCrashのサマリー

確認できている内容：

• Nightmare Eclipse（MSNightmare）は2026年9月8日、GitHubでMicrosoft Defender向けPoC「ShieldCrash」を公開しました。
• ShieldCrashは、ShieldBreak（CVE-2026-69414）に対するMicrosoftの修正を回避できると研究者が主張するPoCです。
• ShieldBreakはMicrosoft Malware Protection Engineの権限昇格脆弱性で、CVSS v3.1は7.8（High）です。
• MicrosoftのCVE情報では、Microsoft Malware Protection Engine 1.1.0.0以上1.1.26080.3未満が影響対象です。
• Microsoft Defender Antivirusのエンジン1.1.26080.3は2026年9月1日に公開されています。
• ShieldCrashのREADMEでは、9月時点の更新済みWindowsでSYSTEM権限による任意ファイル読み取りが可能と主張されています。
• 研究者は、PoCを現時点では「skeleton PoC」とし、完全なSYSTEM権限昇格PoCへ発展させる可能性にも言及しています。
• CrowdStrikeは9月8日のPatch Tuesday分析でShieldCrashを取り上げ、研究者の主張は検証中としています。
• CrowdStrikeは記事公開時点でShieldCrashに対するパッチや緩和策はないとしています。
• CISAのCVE-2026-69414に対するVulnrichmentでは、Exploit Statusは「PoC」、Automatableは「No」、Technical Impactは「Total」と評価されています。
• 9月9日時点でCVE-2026-69414はCISA KEV Catalogへの掲載を確認できませんでした。

現時点で未確認の内容：

• MicrosoftがShieldCrashをCVE-2026-69414の修正回避として正式確認したか
• ShieldCrashに新しいCVE番号が付与されるか
• 研究者が主張する「すべてのサポート対象Windows」が実際に影響を受けるか
• 実攻撃でShieldCrashが悪用されているか
• ShieldCrashから完全なSYSTEM権限昇格が安定して成立するか
• Microsoftによる追加修正の提供時期
• 公式な回避策

項目	内容
PoC名	ShieldCrash
公開日	2026年9月8日
公開者	Nightmare Eclipse / MSNightmare
対象	Microsoft Defender / Microsoft Malware Protection Engine
関連CVE	CVE-2026-69414（ShieldBreak）
CVSS	7.8（CVE-2026-69414）
Microsoftの修正版	Malware Protection Engine 1.1.26080.3
修正版公開日	2026年9月1日
ShieldCrashの主張	修正後も別経路で同種の問題を発生可能
現在のPoCの影響	SYSTEM権限で任意ファイル読み取りと研究者主張
完全なSYSTEM権限昇格	現PoCでは未提示
Microsoft公式確認	9月9日時点でShieldCrash固有の確認なし
実悪用	確認できず
CISA KEV	CVE-2026-69414は9月9日時点で掲載確認できず
新規パッチ	9月9日時点で確認できず

ShieldCrashとは

ShieldCrashは、Nightmare Eclipseが2026年9月8日に公開したMicrosoft Defender向けのPoCです。

GitHubのREADMEでは、MicrosoftがShieldBreak（CVE-2026-69414）への修正で複数の対策を行ったものの、「同じ問題を発生させられる箇所を一部見落としている」と研究者は主張しています。

ShieldCrashが現在示しているのは、SYSTEM権限を利用した任意ファイル読み取りです。

ShieldBreakのPoCは権限昇格によってSYSTEM権限を取得するものとして公開されましたが、ShieldCrashのREADMEで現時点のPoCとして明示されているのは「arbitrary file read as SYSTEM」です。

研究者自身も、現状を完全なSYSTEM権限昇格PoCではなく「skeleton PoC」と表現しています。

したがって、「ShieldCrashで誰でも直ちにSYSTEMシェルを取得できる」と断定できる状態ではありません。

ShieldBreak（CVE-2026-69414）は9月1日に修正扱い

Microsoftは2026年8月14日、Microsoft Malware Protection Engineの権限昇格脆弱性としてCVE-2026-69414を公開しました。

MicrosoftのCVEレコードでは、次の条件が登録されています。

• 製品：Microsoft Malware Protection Engine
• 影響バージョン：1.1.0.0以上、1.1.26080.3未満
• CVSS v3.1：7.8（High）
• Attack Vector：Local
• Attack Complexity：Low
• Privileges Required：Low
• User Interaction：None
• CWE：CWE-284（Improper Access Control）

Microsoft Defender for Endpointのリリースノートでは、Windows Antivirus向けにPlatform 4.18.26080.3、Engine 1.1.26080.3、Security Intelligence 1.159.11.0を9月1日に公開したことが確認できます。

MicrosoftのCVE情報上は、エンジン1.1.26080.3以降がCVE-2026-69414の影響対象外となる整理です。

ShieldCrashは「修正版1.1.26080.3でも残る」と主張

ShieldCrashで問題になるのは、MicrosoftがCVE-2026-69414を修正済みとしているエンジンでも、同種の問題へ到達できると研究者が主張している点です。

READMEでは、Microsoftが複数の対策を追加したものの一部の経路が残っており、9月時点の環境でも任意ファイル読み取りを確認したとしています。

ただし、「すべてのサポート対象Windowsが影響する」という部分はNightmare Eclipse側の主張です。

Microsoftの一次情報はShieldCrash固有の影響OSを示していません。CrowdStrikeも研究者の主張は検証中であり、分析が継続しているとしています。

このため、現時点では「Microsoftの修正を確実に回避でき、全Windowsが脆弱であることが公式確認された」とは記載できません。

Nightmare Eclipse（MSNightmare）とは

Nightmare Eclipseは、2026年春以降、Windowsやエンドポイントセキュリティ製品を対象としたPoCを相次いで公開しているセキュリティ研究者のハンドルネームです。

初期には「Nightmare-Eclipse」名義のGitHubアカウントでBlueHammer、RedSun、UnDefendなどを公開し、その後は「MSNightmare」アカウントでRoguePlanet、GreatXML、LegacyHive、ShieldBreak、ShieldCrashなどを公開しています。

2026年9月9日時点のMSNightmare GitHubプロフィールには10件の公開リポジトリがあり、RoguePlanet、ShieldBreak、GreatXML、FalconFlank、LegacyHive、HardBreacherなどが掲載されています。

公開プロフィールには「Microsoft」「Redmond」などの記載がありますが、これはGitHub上の自己申告情報です。Nightmare Eclipse本人の実名、所属、Microsoftとの雇用関係について、一次情報で確認できる事実として扱うことはできません。

そのため本記事では「Microsoftの研究者」「元Microsoft社員」などとは断定せず、公開GitHub上でWindows・セキュリティ製品のPoCを継続的に公開している研究者として扱います。

Nightmare Eclipseが2026年に公開してきた主なPoC

公開リポジトリやセキュリティ企業の分析から確認できる主な研究は次のとおりです。

名称	主な対象	研究者側が示した影響・概要	公開状況の整理
BlueHammer	Microsoft Defender / Windows	Defender関連機能を利用したローカル権限昇格	2026年春にNightmare-Eclipse名義で公開
RedSun	Microsoft Defender / Windows	Defenderの処理を利用したSYSTEM権限への昇格	2026年春に公開
UnDefend	Microsoft Defender	低権限ユーザーからDefenderの動作を妨害するDoS系PoC	2026年春に公開
GreenPlasma	Windows	ローカル権限昇格につながるWindows内部機構の検証	初期研究群の一つ
MiniPlasma	Windows	過去のWindows権限昇格系問題を再検証したPoC	初期研究群の一つ
YellowKey	BitLocker / Windows回復環境	BitLocker保護を回避できるとする研究	初期研究群の一つ
RoguePlanet	Microsoft Defender	Defenderを利用したローカル権限昇格	CVE-2026-50656としてMicrosoftが認識
GreatXML	BitLocker / Windows RE	Defender Offline Scan後の状態を利用したBitLocker回避	MSNightmareで公開
LegacyHive	Windows User Profile Service	Windows ProfSvcを利用するローカル権限昇格	MSNightmareで公開
ShieldBreak	Microsoft Defender	RoguePlanet修正後もSYSTEM権限昇格が可能とする回避PoC	CVE-2026-69414としてMicrosoftが認識
HardBreacher	Kaspersky Endpoint Security	Kasperskyの高権限処理を利用した権限昇格と研究者が主張	ベンダー確認とは分離が必要
GreenSection	NVIDIAユーザーモードコンポーネント	共有メモリを利用したメモリ破損と研究者が主張	完全なSYSTEM権限昇格PoCではない
PrettyPrague	Avast Antivirus	Avast Sandboxを利用した権限昇格と研究者が主張	ベンダー確認とは分離が必要
FalconFlank	CrowdStrike Falcon	FalconのOfficeマクロ修復処理を利用した権限昇格と研究者が主張	ベンダー確認とは分離が必要
ShieldCrash	Microsoft Defender	ShieldBreak修正後もSYSTEM権限で任意ファイル読み取りが可能と主張	9月9日時点でMicrosoft公式確認待ち

この表には、研究者自身が「zero-day」として公開しているものも含まれます。

すべてがベンダーによって脆弱性として認定され、CVEが付与されているわけではありません。

特にKaspersky、Avast、CrowdStrike、NVIDIAを対象とした2026年8月末から9月初旬のPoCについては、研究者のGitHub READMEに記載された主張と、ベンダー側の正式な脆弱性認定を分けて確認する必要があります。

2026年春はMicrosoft Defenderを集中して検証

Nightmare Eclipseの初期の公開活動では、Microsoft DefenderやWindowsの高権限サービスを利用したローカル権限昇格が目立ちます。

旧Nightmare-Eclipse GitHubアカウントには、BlueHammer、RedSun、UnDefendの3つが主要リポジトリとして残っています。

その後に公開されたアーカイブや防御側の分析では、GreenPlasma、MiniPlasma、YellowKeyなども同じ研究活動の流れとして扱われています。

この時期の特徴は、攻撃者独自のカーネルドライバーや脆弱なサードパーティドライバーを持ち込むのではなく、

• Microsoft Defender
• Windowsサービス
• Windows回復環境
• BitLocker
• Windowsのオブジェクト管理やファイル処理

など、OSに標準搭載される高権限機能の振る舞いを組み合わせて権限境界を越えようとする点です。

RoguePlanet以降は「修正後の再検証」が繰り返される

Nightmare Eclipseの行動で特に確認したいのは、脆弱性を一度公開して終わるのではなく、ベンダー修正後に同じ攻撃面を再検証している点です。

Defender関連では、

1. RoguePlanetを公開
2. MicrosoftがCVE-2026-50656として問題を認識・修正
3. 修正後にShieldBreakを公開
4. MicrosoftがCVE-2026-69414としてShieldBreakを認識
5. Defender Engine 1.1.26080.3を修正版として公開
6. その約1週間後にShieldCrashを公開

という流れになっています。

ShieldCrashは、単独で突然発見された脆弱性というより、同じDefenderの修復・高権限処理を継続的に調べ、Microsoftの対策後も別経路が残っていないかを再検証する中で公開されたPoCと位置付けられます。

このため企業側でも、「CVEが修正済みになった」ことと「同じ攻撃面に別の経路が残っていない」ことを同一視しない方がよい事例です。

BitLockerやWindows ProfSvcにも対象を拡大

Nightmare EclipseはDefender以外のWindowsセキュリティ境界も対象にしています。

GreatXMLではBitLockerとWindows回復環境を扱い、Defender Offline Scanを実行したことがある環境でBitLocker保護を回避できると主張しました。

LegacyHiveではWindows User Profile Service（ProfSvc）とレジストリハイブの読み込み処理を対象とし、ローカル権限昇格のPoCを公開しています。

つまり、研究対象は「Microsoft Defenderの1製品」に限定されていません。

共通しているのは、

• SYSTEMなど高権限で動作するWindows機能
• 低権限ユーザーが間接的に操作できる処理
• ファイルやレジストリの置換・リダイレクト
• 高権限サービスによる正規処理

の境界です。

8月末以降はMicrosoft以外のセキュリティ製品も対象

2026年8月末からは、MSNightmareアカウントでMicrosoft以外の製品を対象としたPoCも相次いで公開されています。

HardBreacherではKaspersky Endpoint Security、PrettyPragueではAvast Antivirus、FalconFlankではCrowdStrike Falconを対象に、各セキュリティ製品の高権限処理を低権限ユーザーから利用して権限を引き上げられると研究者は主張しています。

GreenSectionではNVIDIAのユーザーモードコンポーネントに存在する共有メモリ処理を対象としたメモリ破損PoCを公開しています。

MSNightmareの公開リポジトリ更新履歴では、

• 8月29日：HardBreacher、GreenSection
• 8月30日：PrettyPrague
• 9月3日：FalconFlank
• 9月7日：ShieldCrash

と、短期間に複数ベンダーの研究が公開されています。

この時期からは「Microsoft Defenderの修正回避を続ける研究者」というより、「Windows上で高い権限を持つセキュリティ製品全般を攻撃面として検証している研究者」と見る方が実態に近くなっています。

セキュリティ製品を権限昇格の踏み台として調べる傾向

Nightmare Eclipseの複数のPoCに共通する特徴は、セキュリティ製品が持つ高い権限を逆に攻撃面として利用しようとしている点です。

エンドポイント保護製品は通常、

• SYSTEM権限
• カーネルドライバー
• 他プロセスへの監視権限
• ファイル削除・隔離
• レジストリ変更
• ブラウザ・Officeファイルの修復
• サンドボックス
• 自己防御機能

など、一般アプリケーションより強い権限を持ちます。

そのため、低権限ユーザーがセキュリティ製品へ「正規の処理」を実行させ、その処理対象や出力先を操作できると、セキュリティ製品自身が権限昇格の経路になる場合があります。

RoguePlanet、ShieldBreak、ShieldCrashの一連の研究は、この「高権限の防御機能を攻撃者側から利用する」というテーマの延長線上にあります。

公開PoCを短期間でGitHubへ載せるスタイル

Nightmare Eclipseは、脆弱性の概要だけでなく、ソースコードや実行可能なPoCをGitHubへ公開するケースが多くあります。

RoguePlanet、ShieldBreak、ShieldCrashに加え、FalconFlank、PrettyPrague、HardBreacherなども公開リポジトリとして確認できます。

これは防御側にとって、

• 再現確認
• 検知ルール作成
• EDRテレメトリの確認
• ベンダー修正の検証

に利用できる一方、攻撃コードの公開によって第三者が悪用研究を進めやすくなる側面もあります。

企業側では「PoC公開＝実悪用」とは扱わず、

1. PoCが存在する
2. 独立研究者が再現した
3. ベンダーが脆弱性として確認した
4. CVEが付与された
5. 実際の攻撃で悪用された
6. CISA KEVへ掲載された

を分けて管理する必要があります。

Nightmare Eclipseの主張とベンダー確認を分けて読む必要がある

Nightmare EclipseのGitHub READMEでは、「0day」「fully patched」「all versions vulnerable」など強い表現が使われることがあります。

しかし、これらは公開時点では研究者側の評価です。

RoguePlanetやShieldBreakのように、後からMicrosoftがCVEを割り当てて問題を正式認識したケースもあります。

一方、公開直後のPoCについては、

• ベンダーが再現していない
• 影響範囲が確定していない
• 安定した権限昇格まで成立していない
• 追加条件が存在する
• 新規CVEとして扱うか未定

という場合があります。

ShieldCrashについても同様で、研究者の公開履歴から「Microsoftの修正回避を再び発見した可能性」はありますが、それだけでMicrosoftの修正不備が公式に確定したとは言えません。

ShieldBreakはRoguePlanetの修正回避として始まった

今回のShieldCrashは、Microsoft Defenderをめぐる修正と回避の連鎖の続きです。

最初の起点となったのはRoguePlanet（CVE-2026-50656）です。

Nightmare Eclipseは2026年6月、Microsoft Defenderを利用して低権限ユーザーからSYSTEM権限へ昇格できるとするRoguePlanetを公開しました。

Microsoftはその後RoguePlanetへ対策しましたが、Nightmare Eclipseは8月、その修正を別経路から回避するShieldBreakを公開しました。

MicrosoftはShieldBreakをCVE-2026-69414として認定し、9月1日のDefenderエンジン1.1.26080.3で修正した扱いとしています。

その約1週間後に公開されたのがShieldCrashです。

時期	動き
2026年6月	RoguePlanet（CVE-2026-50656）が公開
2026年7月	MicrosoftがRoguePlanetへの対策を提供
2026年8月	ShieldBreakが公開、RoguePlanet修正の回避を主張
2026年8月14日	MicrosoftがShieldBreakをCVE-2026-69414として公開
2026年9月1日	Defender Engine 1.1.26080.3公開、CVE上は修正版扱い
2026年9月8日	ShieldCrash PoC公開、ShieldBreak修正の回避を主張

関連記事：Microsoft Defenderの新たなゼロデイ 脆弱性「ShieldBreak」、7月に修正されたはずのRoguePlanetを完全にバイパス

関連記事：Microsoft Defenderのゼロデイ 脆弱性 RoguePlanetにCVE-2026-50656が付与

PoC公開と実攻撃での悪用は別

ShieldCrashのソースコードはGitHubで公開されています。

しかし、「PoCが公開されている」ことと「実際の攻撃者が悪用している」ことは同じではありません。

9月9日時点で、Microsoft、CISA、CrowdStrikeの確認できる公開情報では、ShieldCrashが実攻撃で悪用されたとの確認はありません。

CVE-2026-69414について、CISAのVulnrichmentは「Exploitation: poc」としています。これは公開PoCが存在することを示すもので、実悪用確認を意味しません。

また、CVE-2026-69414は9月9日時点でCISA KEV Catalogへの掲載を確認できませんでした。

CVSS 7.8でも侵害後の権限昇格として確認が必要

CVE-2026-69414のCVSS v3.1は7.8です。

CriticalではなくHighですが、これは攻撃条件としてローカルアクセスと低権限が必要なためです。

脆弱性単体でインターネット越しに未認証RCEが成立するものではありません。

一方、端末へすでに低権限コードを実行できる攻撃者にとって、SYSTEM権限へ到達する権限昇格は侵害後の重要な段階になります。

フィッシング、マルウェア実行、ブラウザやOfficeの脆弱性、認証情報窃取などで最初の足掛かりを得た後に、ローカル権限昇格を組み合わせる攻撃は一般的に存在します。

ただし、これらがShieldCrashの実攻撃で利用されたという意味ではありません。

Defenderを停止する対応は推奨できない

ShieldCrashはMicrosoft Defenderを対象としているため、Defenderを無効化すれば影響を避けられるのではないかと考える可能性があります。

しかし、MicrosoftがShieldCrash向けの公式な緩和策としてDefender停止を案内した事実はありません。

Defenderを停止すると、マルウェア検知、リアルタイム保護、クラウド保護、振る舞い検知などの防御機能そのものを失います。

未確認のPoC対策としてDefenderを無効化することは、別の攻撃への露出を増やす可能性があります。

公式な回避策が公開されるまでは、Defenderを最新状態に保った上で、初期侵入対策、EDR、アプリケーション制御など複数の防御層を維持します。

「Defender更新済み＝ShieldCrash対策済み」とはまだ言えない

CVE-2026-69414だけを基準にすれば、Microsoft Malware Protection Engine 1.1.26080.3以降は修正済みです。

ただしShieldCrashは、その1.1.26080.3以降でも別経路が残っていると主張しています。

したがって9月9日時点では、

• 1.1.26080.3未満：CVE-2026-69414の既知の影響対象
• 1.1.26080.3以降：Microsoft上はCVE-2026-69414修正済みだが、ShieldCrashの主張については公式確認待ち

と分けて管理する必要があります。

「エンジンを1.1.26080.3へ更新したからShieldCrashも解消済み」とは確認できません。

情報システム・SOCが今確認したいこと

• Microsoft Defender Malware Protection Engineのバージョンを取得できるか
• 1.1.26080.3未満の端末が残っていないか
• Defender Platformも4.18.26080.3以降へ更新されているか
• 長期間オフラインでDefender更新が止まっている端末がないか
• Windows UpdateだけでなくDefender Engineの更新状況を資産管理しているか
• ShieldCrashを新たなCVEと決めつけず、Microsoftの追加アドバイザリを監視しているか
• Microsoft Defender for Endpointや他のEDRで不審なローカル権限昇格を監視しているか
• 一般ユーザーへローカル管理者権限を常用させていないか
• AppLocker、Windows Defender Application Controlなどで未承認コード実行を制限できるか
• Microsoftが追加修正を公開した場合にDefender Engineを短時間で全端末へ配信できるか
• PoCを本番端末で安易に実行しない運用になっているか

PoCの安全性もMicrosoftが保証しているものではありません。検証が必要な場合でも、本番端末や業務ネットワークではなく、隔離された検証環境と正式な承認手順を用います。

今後確認したいポイント

• Microsoftが研究者の主張を再現したか
• CVE-2026-69414の影響バージョンが再変更されるか
• 新しいCVEが付与されるか
• Defender Engineの追加更新が公開されるか
• Microsoftが公式な緩和策を公開するか
• 独立した研究機関がShieldCrashのPoCを再現したか
• 実攻撃での悪用が確認されるか
• CISA KEVへ掲載されるか

9月9日時点で確定しているのは、CVE-2026-69414に対するMicrosoftの修正版が1.1.26080.3であることと、その修正後も同種の問題が残るとするShieldCrashのPoCが公開されたことです。

「Microsoftの修正が完全に破られた」とする最終判断は、Microsoftや複数の独立検証結果を待つ必要があります。

出典

• MSNightmare – GitHub
• Nightmare-Eclipse – GitHub
• RoguePlanet – MSNightmare / GitHub
• GreatXML – MSNightmare / GitHub
• LegacyHive – MSNightmare / GitHub
• HardBreacher – MSNightmare / GitHub
• GreenSection – MSNightmare / GitHub
• PrettyPrague – MSNightmare / GitHub
• FalconFlank – MSNightmare / GitHub
• ShieldBreak: Hunting Windows Defender Remediation Abuse and Cloud Files Hijacking – LevelBlue
• ShieldCrash – MSNightmare / GitHub
• Microsoft Defender Elevation of Privilege Vulnerability（CVE-2026-69414） – Microsoft Security Response Center
• CVE-2026-69414 – CVE Program
• Microsoft Defender for Endpoint release notes – Microsoft Learn
• CVE-2026-69414 Vulnrichment – CISA
• Known Exploited Vulnerabilities Catalog – CISA
• September 2026 Patch Tuesday: Updates and Analysis – CrowdStrike
• ShieldBreak – MSNightmare / GitHub