Microsoft Defenderの新しいアップデートによりハッカーがWindows 11 PCのディスク容量を完全に使い果たしてしまう可能性がある

セキュリティ研究者が、「Microsoft Defender」に端末のストレージを過剰に消費してしまう脆弱(ぜいじゃく)性があることを発見しました。

NightmareEclipse/LegacyHive: N/A - LegacyHive - Project NightCrawler
https://git.projectnightcrawler.dev/NightmareEclipse/LegacyHive

New Microsoft Defender update can let hackers totally fill your Windows 11 PC disk space - Neowin
https://www.neowin.net/news/new-microsoft-defender-update-can-let-hackers-totally-fill-your-windows-11-pc-disk-space/

今回の脆弱性は、Nightmare Eclipseという名前で活動するセキュリティ研究者が発見した脆弱性「RoguePlanet」に関連するものです。RoguePlanetは、Microsoft Defenderの保護機能「Malware Protection Engine(mpengine.dll)」に存在する欠陥を悪用することで、権限昇格を可能にする恐れがある脆弱性です。

Microsoft Defenderの新たなゼロデイ脆弱性「RoguePlanet」、2026年6月10日のWindows Updateのパッチを全て当てた状態でも攻撃されてしまう結果に - GIGAZINE

Microsoftはこの脆弱性をバージョン1.1.26060.3008へ更新することで修正しています。ところが、Nightmare Eclipse氏によると修正後に別の問題が発生しているとのことです。

通常、Microsoft Defenderはスキャンや隔離を行うファイルのサイズに制限を設け、ストレージの過剰な消費を防いでいます。しかしNightmare Eclipse氏によると、その制限はキャッシュされたZone.Identifierと呼ばれる代替データストリーム(ADS)には適用されないため、Microsoft Defenderに非常に巨大なキャッシュをディスクへ書き込ませることが技術的には可能になるとのことです。

Nightmare Eclipse氏の概念実証では、悪意のあるカスタムSMBサーバー上にファイルと、特別に細工された巨大なZone.Identifier ADSを配置し、そして特定の読み取り処理を意図的に停止させつつSMBセッションを維持すると、Microsoft Defenderはキャッシュしたファイルを削除せずロックしたまま保持し続けるとのこと。その結果、ディスク使用量が増え続け、最終的にはドライブ全体がいっぱいになるとされています。

Nightmare Eclipse氏によれば、この挙動はWindows 11 25H2およびWindows Server 2025で再現できたとのことです。氏は同じ手法がWebDAV経由でも利用できるか調査中であり、もし可能であればSMBが不要となり、インターネット経由でマルウェアを妨害されることなく配布できる可能性があるとしています。

Microsoftは、RoguePlanet(CVE-2026-50656)に関するアドバイザリの中で、今回報告されたディスク容量枯渇の問題については記事作成時点で公にはコメントしていません。