Microsoft Defender のリンク追跡による権限昇格（KEV 収載・悪用確認済み）

High（CVSS 7.8）に分類されるMicrosoft Defender（Malware Protection Engine 1.1.26030.3008 以上 1.1.26040.8 未満）の脆弱性です。Microsoft Defender に、シンボリックリンクなどのリンクを解決する処理の不備を突いてローカルで権限を昇格できる欠陥がある。NVD の説明は「Improper link resolution before file access ('link following') in Microsoft Defender allows an authorized attacker to elevate privileges locally.」の1文である。 **この脆弱性の厄介さは、悪用される部品がセキュリティ製品そのものである点にある。** Defender のスキャンエンジンは、検体を検査し、隔離し、削除するために高い権限で動く。リンク追跡の脆弱性は、そのエンジンに「本来触るはずのない場所」を触らせる形で成立する。攻撃者は自分で権限を上げるのではなく、**すでに高い権限を持っているエンジンに肩代わりさせる**。したがって、通常のアプリケーションの権限昇格より検知しにくい。ログ上は正規のセキュリティ製品がファイルを操作しただけに見えるからである。 CVSS は 7.8 HIGH（CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）である。ベクタを読むと、攻撃はローカル（AV:L）で、低い権限が必要（PR:L）だが、利用者の操作は不要（UI:N）で、機密性・完全性・可用性のすべてに高い影響がある。**AV:L なので単独では侵入の入り口にならない**。実際の攻撃では、フィッシングや別の脆弱性で一般ユーザー権限を取ったあとの、2段目として使われる型である。 CISA KEV には 2026年5月20日に追加され、**是正期限は 2026年6月3日**だった。2026年8月4日時点で期限は既に経過している。ランサムウェアでの利用は「Unknown（不明）」とされている。KEV に載っているということは、**実際に悪用が観測されている**という意味である。 影響を受けるのは、NVD の版レンジで **Malware Protection Engine 1.1.26030.3008 以上 1.1.26040.8 未満**である。製品名は「Microsoft Defender」だが、実体はマルウェア対策エンジンのバージョンで判定する。Windows の OS バージョンや Defender の表示名では判断できない。

まず、対象が Windows 端末とサーバの**ほぼ全数**であることを前提に置く。Microsoft Defender は Windows に既定で組み込まれており、明示的に無効化していない限り動いている。「特定の製品を導入している組織だけの話」ではない。 次にバージョンを見る。判定に使うのは **Malware Protection Engine のバージョン**であって、Windows のビルド番号でも Defender の表示名でもない。PowerShell で `Get-MpComputerStatus` を実行すると `AMEngineVersion` が確認できる。NVD の版レンジは 1.1.26030.3008 以上 1.1.26040.8 未満なので、**1.1.26040.8 以降であれば対象外**になる。 恒久対応は、**Defender のエンジン更新を適用すること**である。ここが本件のいちばん重要な点である。Microsoft はマルウェア対策エンジンとセキュリティインテリジェンスを、Windows Update とは別の高頻度の更新経路で配布している。したがって、**多くの環境では利用者が何もしなくても既に更新済みである可能性が高い**。逆に言えば、**この更新経路が止まっている端末だけが取り残される**。オフラインの端末、更新配信を意図的に絞っている環境、WSUS や Configuration Manager で定義更新の承認が滞っている環境が該当する。 つまり、この CVE で本当に確認すべきは「パッチを当てたか」ではなく、**「エンジン更新が届く経路が生きているか」**である。組織内の端末について `AMEngineVersion` を集計し、古いバージョンで止まっている端末を洗い出す。1台ずつ手で当てる話ではなく、配信が止まっている原因を潰す話になる。 緩和策については、正直に書くと**有効なものは少ない**。Defender を無効化するのは本末転倒であり、CISA の要求アクションが挙げる「緩和策が無い場合は使用を停止する」も、この製品には現実的に適用できない。したがって、更新経路の復旧が事実上唯一の道である。それまでの間は、AV:L の性質を踏まえ、**1段目の侵入を防ぐ側**（一般ユーザー権限の取得を許さない）に寄せるしかない。 検知は、Defender 自身の動作ログから入る。具体的には、隔離・削除の対象になったパスに、**シンボリックリンクやジャンクションを経由した想定外の場所**（システムディレクトリ、他ユーザーのプロファイル、サービスの実行ファイル）が含まれていないかを見る。あわせて、一般ユーザー権限のプロセスが監視対象ディレクトリにリンクを作成した記録（Sysmon のイベント ID 11 など）を確認する。**Defender が消した／動かした、という記録そのものが手掛かりになる**点が、この脆弱性の特徴である。 優先順は、**エンジン更新が届いていない端末**（`AMEngineVersion` が古い） → **一般ユーザーがログインする端末** → **管理者しか触らないサーバ** の順である。KEV の是正期限は既に過ぎているので、未着手の環境は期限超過として扱う。

Microsoft Defender（Malware Protection Engine 1.1.26030.3008 以上 1.1.26040.8 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-41091）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては BOD 22-01 の該当ガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。