2026年8月27日、Microsoft Defender の定義更新処理におけるファイル操作に不備があり、特権昇格につながる可能性がある脆弱性について、Scan Tech Report が解説記事を公開した。
事案の詳細
報道によれば、問題は Microsoft Defender が行う「定義更新」の処理に関連している。定義更新は、マルウェア検出ルールなどを最新化するために製品が継続的に行う更新であり、Windows 環境で日常的に多数の端末で自動実行される仕組みだ。
今回指摘されているのは、この更新の過程で行われるファイル操作に不備があるという点である。Microsoft Defender のマルウェア対策エンジンが定義ファイルや関連コンポーネントを更新する際、リンクやファイルへのアクセス制御の扱いが不適切であることが原因の一つとされ、通常より強い権限を得る「特権昇格」につながり得る。この種の不備は単なる機能不全にとどまらず、OS 上の権限境界に影響しうる性質を持つ。
本件に対応する脆弱性は、Microsoft Defender が利用する Microsoft Malware Protection Engine の特定バージョンに存在する権限昇格の脆弱性として公開されており、Microsoft はエンジンのアップデートによって修正を提供しているとされる。一部の情報では、リンク解決処理の不備（link following の問題）に起因し、ローカル環境にアクセス権を持つ攻撃者が SYSTEM 権限を取得できる可能性があると説明されている。
現時点で、実際の被害件数や影響が出た組織の数など、具体的な被害状況については記事本文からは明確には確認できない。一方で、Defender の定義更新は標準設定で自動配信されることが多く、問題の発生箇所が更新処理である点は、運用上の注意点として重要である。
影響と背景
特権昇格は、端末内で実行できる操作範囲を広げ、管理者（SYSTEM 権限を含む）に近い権限を得ることにつながる可能性がある。Microsoft Defender は Windows 環境に広く標準搭載・利用されている製品であり、そのマルウェア対策エンジンや定義更新といった頻繁に動く機能に関連する不備は、日常運用の中で見落とされやすい点が背景として意識される。
今回の問題は、すでにローカル環境に何らかの形でアクセスしている攻撃者が、Defender の更新処理におけるファイル操作の不備を悪用し、より高い権限を取得する「権限昇格」の手段として用いられる恐れがある点に特徴がある。脆弱性はローカル権限の乗っ取りや内部横移動の足がかりとして悪用され得るため、エンドポイント防御における重要なリスク要因となる。
対策・今後の展望
- 更新状況の把握：Microsoft Defender の定義更新およびマルウェア対策エンジンの更新が端末で継続的に自動実行されていることを前提とし、バージョンや更新状態を定期的に確認できる体制を整える。必要に応じて、対象となる脆弱性に対応したエンジンバージョンが適用されているかを確認する。
- 端末の権限管理：特権昇格が問題となる以上、日常的に一般利用者へ過剰な権限（ローカル管理者権限など）を付与しない運用を徹底する。最小権限の原則に基づき、業務に不要な管理者権限アカウントの棚卸しと削除・権限縮小を行う。
- 監視と初動：端末上で不審な権限の変化（標準ユーザーから管理者グループへの追加など）や、Defender の設定変更・更新停止といった想定外の挙動が見られた場合に、ログ収集・調査・切り分けを速やかに行える連絡手順とインシデント対応プロセスを用意する。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRI が支援する中小企業の MDR 運用では、「Defender は導入されているが、更新状態や端末の権限状態を誰も継続的に見ていない」ケースが少なくない。診断でも、Defender の更新関連イベントや権限変更に関するログが記録されていても点検対象外となり、端末内の権限変化や更新失敗に気づきにくい状況が散見される。
【観点②：平易な解説】例えるなら、警備員が交代するタイミングで鍵の受け渡し手順に穴があり、第三者がその隙に合鍵を作れるようなものです。つまり、ウイルス対策を最新にするための更新処理の途中で、本来は触れない場所に触れる権利を得られる可能性がある、ということです。定義更新という「日常的に必ず行われる作業」の中に弱点があるため、攻撃者にとっては狙いやすいポイントになり得ます。
【観点③：今週中にできること】まず、社内で Microsoft Defender の定義更新およびマルウェア対策エンジンの更新が自動で行われている前提を共有し、担当者を決めて更新状態とエンジンバージョンを確認してください。次に、一般利用者がローカル管理者権限を持っていないか棚卸しし、不要な権限を外す運用に戻します。最後に、端末で権限の変化や Defender の更新停止・無効化など不審な動きが疑われた際の連絡先と初動手順を周知し、インシデント時に素早く調査・封じ込めができるよう準備しておきましょう。
参照: Microsoft Defender における特権昇格につながる定義更新時のファイル操作不備（Scan Tech Report）