悪用が確認されたDefenderの脆弱性「UnDefend」、一般権限で保護機能を停止　更新が止まった端末に注意

Microsoft Defenderの更新処理を妨害して、Defenderの動作を止められる脆弱性「CVE-2026-45498」について、セキュリティ専門誌ScanのTech Reportが10月27日に詳しい解説を掲載した。この脆弱性は2026年5月に修正済みだが、「UnDefend」と呼ばれる攻撃コードが公開され、実際の攻撃での悪用も確認されている。米CISAは5月20日、悪用が確認された脆弱性のカタログ（KEV）に追加した。Defenderの更新が止まっている端末は、今も攻撃を受けるおそれがある。

事案の詳細

Scanの解説によると、Defenderの更新処理に不備があり、一般ユーザーの権限でも、更新時に作られるファイルをロックできる。ロックによって更新処理が妨げられると、Defenderの動作が止まる。攻撃者は管理者権限を持たなくても、端末のDefenderを機能停止させることができる。

影響を受けるのは、Defenderのマルウェア対策プラットフォームのバージョン4.18.26040.7より前のもの。Microsoftは2026年5月にこのバージョンで修正しており、この脆弱性が公開済みで、実際に悪用されていることを認めている。

同じ時期には、Defenderのマルウェア対策エンジンでSYSTEM権限を奪える権限昇格の脆弱性「CVE-2026-41091」も修正され、こちらも悪用が確認されている。報道によると、セキュリティ企業Huntressは、攻撃者がUnDefendなどの攻撃コードを使う様子を観測している。CISAは米連邦政府機関に対し、6月3日までの対応を求めていた。

影響と背景

この脆弱性で直接情報が盗まれるわけではない。しかし、侵入した攻撃者がまずDefenderを止め、そのあとでマルウェアの実行や権限昇格を行うための「防御を外す道具」として使われるおそれがある。セキュリティ製品を無効化してから本格的な攻撃に移るのは、ランサムウェア攻撃でよく見られる流れだ。

Defenderのプラットフォームは通常、自動で更新される。ただし、更新の配信をWSUSなどで手動管理している環境や、長期間オフラインだった端末、更新が失敗し続けている端末では、古いバージョンのまま残っていることがある。

対策・今後の展望

• プラットフォームのバージョンを確認する：Windowsセキュリティの「設定」→「バージョン情報」や、PowerShellの Get-MpComputerStatus で、マルウェア対策プラットフォームのバージョンが4.18.26040.7以降になっているかを確かめる。
• 更新が止まっている端末を洗い出す：Intuneなどの管理ツールで、Defenderの更新が長く失敗している端末や、保護機能が無効になっている端末を一覧にする。
• Defenderの停止を検知する：リアルタイム保護の無効化やサービスの停止は、攻撃の前触れになり得る。管理コンソールやEDRで、こうした状態変化に通知が届くようにしておく。
• 改ざん防止機能を有効にする：Defenderの改ざん防止（Tamper Protection）を有効にし、設定を勝手に変えられないようにする。

CSRIからの現場アドバイス

【現場で何が起きているか】侵入した攻撃者は、まずセキュリティ製品を止めようとします。今回のように一般ユーザーの権限で止められる弱点は、その手順を簡単にしてしまいます。「Defenderが入っているから大丈夫」と思っていても、更新が止まった端末が一台あれば、そこが狙われます。

【平易な解説】防犯カメラを設置していても、泥棒がまずカメラの電源を抜けるなら意味がありません。今回の弱点は、管理者でなくても「電源を抜ける」状態だったということです。修正済みの新しいバージョンにしておけば、この方法は使えなくなります。

【今週中にできること】社内の端末で、Defenderのプラットフォームが4.18.26040.7以降になっているかを確認してください。古いままの端末があれば、更新が届かない理由（オフライン、配信設定、エラー）を調べて解消します。あわせて、Defenderが止まったときに誰に通知が届くのかを決めておきましょう。

参照: Scan Tech Report（2026年10月27日） ／ Help Net Security（2026年5月21日）