Nightmare Eclipse、Microsoft Defenderの新たなゼロデイ「ShieldCrash」を公開

Nightmare Eclipse、Microsoft Defenderの新たなゼロデイ「ShieldCrash」を公開

BleepingComputer – September 9, 2026

Nightmare Eclipse（Chaotic Eclipse）として知られる匿名セキュリティ研究者が、Microsoft Defenderにおける新たなゼロデイエクスプロイト「ShieldCrash」を公開。これは、マイクロソフトが2026年9月の月例セキュリティ更新プログラムをリリースした直後のことだった。

マイクロソフトは9月8日の月例パッチで、過去最多となる966件の脆弱性に対処。攻撃で悪用されているゼロデイCVE-2026-81963およびCVE-2026-85880のほか、「Critical（緊急）」評価の脆弱性105件などを修正していた。

Nightmare Eclipseがその直後にリリースしたShieldCrashは、自身が8月に公開したエクスプロイト「ShieldBreak」のバイパスとされる。ShieldBreakはMicrosoft Defenderにおける特権昇格の脆弱性で、これ自体も、Nightmare Eclipseが6月に公開したエクスプロイト「RoguePlanet」をバイパスするものだった。

関連記事：Nightmare Eclipse、Windowsのゼロデイエクスプロイト「ShieldBreak」をリリース

Nightmare Eclipseによれば、ShieldCrashは、完全にパッチが適用されたWindows 10、Windows 11、Windows ServerシステムでのSYSTEM権限取得を可能にするが、侵害されたシステムへの書き込みアクセスを与えるものではないとされる。同研究者は、「マイクロソフトはShieldBreak（CVE-2026-69414）に対して適切な修正パッチを適用できておらず、特定の条件下では、ShieldBreakによって引き起こされたのと同じ問題を依然として再現することが可能」だと主張した。

2026年4月以降、Nightmare Eclipseは以下のようなマイクロソフト製品のゼロデイを公開しているほか、カスペルスキー製品の「HardBreacher」、Nvidia製品の「GreenSection」、GenDigita製品の「PrettyPrague」、クラウドストライク製品の「FalconFlank」と他社製品のエクスプロイトも複数公開している。

＜Nightmare Eclipseがこれまでに公開したマイクロソフト製品のエクスプロイト＞

• マイクロソフトにより修正済み：ShieldBreak、RoguePlanet、YellowKey、GreenPlasma、MiniPlasma 
• 公式パッチなしとされるもの：LegacyHive、BlueHammer、RedSun、UnDefend

Chrome・Windowsエクスプロイトキット「BlueMoon」を4つの脅威グループが使用（CVE-2026-85046、CVE-2026-85880）

ArsTechnica – September 10, 2026

ChromeブラウザおよびMicrosoft Windowsにおける3件の脆弱性を連鎖させる新たなエクスプロイトキット「BlueMoon」が、少なくとも4つのハッキンググループによって使用されているという。Proofpointが報告した。

BlueMoonのエクスプロイトチェーンは、以下3件の脆弱性をターゲットにしたもの。

• ChromiumのJavaScriptエンジンV8における型混同の脆弱性（CVE-2026-85046）
• V8におけるサンドボックスエスケープの脆弱性（CVEなし）
• Windowsカーネルにおけるローカル特権昇格のゼロデイ脆弱性（CVE-2026-85880）

攻撃者は、V8の脆弱性2件を悪用することでリモートコード実行を達成し、続いて旧バージョンのWindowsにおける脆弱性CVE-2026-85880を悪用して、悪意のあるコードをSYSTEM権限で実行できるようにしたとされる。

ProofpointはV8の脆弱性2件について、攻撃が観測された時点で「パッチギャップ」型のゼロデイだったと説明。開発者がパッチを公開してから、そのパッチがChromeやEdgeなどのブラウザへ組み込まれるまでの期間に生じる、Chromiumサプライチェーンにおける「パッチギャップ」が悪用されたことが、このBlueMoonエクスプロイトチェーンが広く使用され、目立った存在となった理由の1つだと分析した。加えて、AIの利用も一因となった可能性があるとされる。

Proofpointによれば、少なくとも以下4つのグループがBlueMoonを使用していたという。これ以外にもBlueMoonを利用したグループがあったかどうかはわかっていない。

• TA412（JungleBamboo、Violet Typhoon、APT31、TIDE CASTLE）：中国との繋がりがあるとされる脅威アクター。2026年8月28日にBlueMoonを使用し始め、米国のNGO、採鉱、現物商品取引組織を標的にしたとされる。
• UNK_LateNight：同じく中国との結びつきが指摘されるスパイグループ。2026年9月2日から、米国の航空宇宙関連企業数社に対する攻撃キャンペーンでBlueMoonを使用し始めたとされる。
• UNK_DoubleCheck：スパイ活動を目的に活動しているとみられる脅威アクター。同じく9月2日にベトナムの製造業者に対する攻撃でBlueMoonを使用していたとされる。
• UNK_QuietRacket：中国との関連が疑われるスパイグループ。2026年9月3日からBlueMoonを使用してインドネシアおよびシンガポールの政府・コンサルティング・金融部門の組織を標的にし始めたとされる。

BlueMoonには、現在も使用されていることを示す兆候が数多く見られるという。3つの脆弱性すべてに対してパッチが提供済みであるにもかかわらず、Proofpointは、このエクスプロイトキットが今後も引き続き使用される可能性があると指摘している。

関連記事：GoogleがChromeアップデートを公開、悪用が確認されたV8エンジンのゼロデイを修正（CVE-2026-85046）