情報取得日: 2026/05/20／最終確認: 2026/08/20・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-45498 |
|---|---|
| 製品 | Microsoft / Microsoft Defender（Antimalware Platform） |
| CVSS | 7.5（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 種別 (CWE) | CWE-400 リソース消費の制御不備 |
| 登録／公開日 | 2026/05/20 |
| KEV 期限 | 2026/06/03 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの手順に従って緩和策を適用し、クラウドサービスについては BOD 22-01 の該当ガイダンスに従う。緩和策が無い場合は当該製品の利用を停止する。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-45498 |
Microsoft Defender の Antimalware Platform にサービス拒否（DoS）の脆弱性がある。NVD の表題は「Microsoft Defender Denial of Service Vulnerability」で、CWE は CWE-400（リソース消費の制御不備）。影響を受けるのは Antimalware Platform の 4.18.26040.7 より前（4.0.0.0 以降が対象）である。この CVE は評価が2つに割れており、読むときに注意が要る。NVD（Primary）は 7.5 High で、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H、つまりネットワーク越しに認証も利用者操作も無しで可用性を High に落とせるという評価である。一方 Microsoft（CNA・Secondary）は 4.0 Medium で、ベクタは AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L、ローカルからで可用性への影響も Low という評価になっている。攻撃元がネットワークかローカルか、影響が High か Low か、という最も効く2軸で見解が分かれているため、社内で数値を報告するときはどちらの評価元の値かを必ず併記すること。本サイトは NVD の値を掲載基準に使っているため 7.5 High として扱う。CISA は 2026年5月20日に KEV カタログへ収載し、是正期限を 2026年6月3日としている。KEV の記述は「Microsoft Defender contains an unspecified vulnerability that allows for denial of service」で、技術的な詳細は公開されていない。knownRansomwareCampaignUse は Unknown。NVD の公開は 2026年5月20日、最終更新は 2026年7月23日である。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
EC2 上の Windows で Defender の Antimalware Platform を 4.18.26040.7 以降へ更新する。Get-MpComputerStatus の AMProductVersion で確認する
AWS 側から本 CVE 個別のセキュリティ速報は確認できていない（2026-08-20 時点）。プラットフォーム更新は Defender の更新経路で自動配信されるため、閉域構成での配信可否を確認すること。
参照リンク
|
| GCP | ベンダーFW更新 |
Compute Engine 上の Windows で Antimalware Platform を 4.18.26040.7 以降へ更新する
GCP 側から本 CVE 個別のセキュリティ速報は確認できていない（2026-08-20 時点）。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure VM の Windows で Antimalware Platform を 4.18.26040.7 以降へ更新する。Microsoft Defender for Cloud の推奨事項でも更新状況を確認できる
MSRC のセキュリティ更新ガイドが一次情報。NVD 7.5 High と Microsoft 4.0 Medium で評価が割れているため、報告時は評価元を併記すること。
参照リンク
|
| Linux | 情報確認中 |
情報確認中。NVD の CPE は Microsoft Antimalware Platform のみで、Microsoft Defender for Endpoint on Linux が対象に含まれるかは公式情報で要確認
KEV の記述が unspecified vulnerability であり技術詳細が非公開のため、Linux 版エージェントへの影響有無を断定できない。断定できるまで対象外とは書かない。
参照リンク
|
対応は Antimalware Platform を 4.18.26040.7 以降へ上げることで、これは Defender の定義更新と同じ経路で自動配信される。したがって多くの環境では何もしなくても既に直っているが、そう言い切れるのは更新経路が生きている場合だけである点が要点になる。確認は PowerShell の Get-MpComputerStatus で AMProductVersion を見るのが確実で、ここが 4.18.26040.7 以上かどうかを資産単位で確かめる。注意が要るのは、更新経路が塞がっている環境である。閉域網でインターネットへ出られない、WSUS 経由の配信が止まっている、イメージから起こしたまま長期間オフラインだった、といった環境では Defender のプラットフォーム更新だけが取り残されやすい。加えて、この CVE は可用性のみに影響する DoS であり、機密性と完全性には影響しない（C:N/I:N）。したがって侵害調査の対象ではなく、対応の実務は更新状況の棚卸しに尽きる。KEV に収載され是正期限（2026年6月3日）を既に過ぎているため、政府調達要件などで KEV 準拠を求められる組織では、未更新の資産は期限超過として扱われる。Defender を無効化して別の EDR を使っている環境でも Antimalware Platform 自体は残っていることがあるので、製品を止めたつもりでバージョンが古いまま残っていないかを確認しておくとよい。
High（CVSS 7.5）に分類されるMicrosoft Microsoft Defender（Antimalware Platform）の脆弱性です。Microsoft Defender の Antimalware Platform にサービス拒否（DoS）の脆弱性がある。NVD の表題は「Microsoft Defender Denial of Service Vulnerability」で、CWE は CWE-400（リソース消費の制御不備）。影響を受けるのは Antimalware Platform の 4.18.26040.7 より前（4.0.0.0 以降が対象）である。この CVE は評価が2つに割れており、読むときに注意が要る。NVD（Primary）は 7.5 High で、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H、つまりネットワーク越しに認証も利用者操作も無しで可用性を High に落とせるという評価である。一方 Microsoft（CNA・Secondary）は 4.0 Medium で、ベクタは AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L、ローカルからで可用性への影響も Low という評価になっている。攻撃元がネットワークかローカルか、影響が High か Low か、という最も効く2軸で見解が分かれているため、社内で数値を報告するときはどちらの評価元の値かを必ず併記すること。本サイトは NVD の値を掲載基準に使っているため 7.5 High として扱う。CISA は 2026年5月20日に KEV カタログへ収載し、是正期限を 2026年6月3日としている。KEV の記述は「Microsoft Defender contains an unspecified vulnerability that allows for denial of service」で、技術的な詳細は公開されていない。knownRansomwareCampaignUse は Unknown。NVD の公開は 2026年5月20日、最終更新は 2026年7月23日である。
対応は Antimalware Platform を 4.18.26040.7 以降へ上げることで、これは Defender の定義更新と同じ経路で自動配信される。したがって多くの環境では何もしなくても既に直っているが、そう言い切れるのは更新経路が生きている場合だけである点が要点になる。確認は PowerShell の Get-MpComputerStatus で AMProductVersion を見るのが確実で、ここが 4.18.26040.7 以上かどうかを資産単位で確かめる。注意が要るのは、更新経路が塞がっている環境である。閉域網でインターネットへ出られない、WSUS 経由の配信が止まっている、イメージから起こしたまま長期間オフラインだった、といった環境では Defender のプラットフォーム更新だけが取り残されやすい。加えて、この CVE は可用性のみに影響する DoS であり、機密性と完全性には影響しない（C:N/I:N）。したがって侵害調査の対象ではなく、対応の実務は更新状況の棚卸しに尽きる。KEV に収載され是正期限（2026年6月3日）を既に過ぎているため、政府調達要件などで KEV 準拠を求められる組織では、未更新の資産は期限超過として扱われる。Defender を無効化して別の EDR を使っている環境でも Antimalware Platform 自体は残っていることがあるので、製品を止めたつもりでバージョンが古いまま残っていないかを確認しておくとよい。
Microsoft Microsoft Defender（Antimalware Platform） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-45498）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/03 です。推奨される対応: ベンダーの手順に従って緩和策を適用し、クラウドサービスについては BOD 22-01 の該当ガイダンスに従う。緩和策が無い場合は当該製品の利用を停止する。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/20）。