Microsoftが今週公開したWindows Defenderのゼロデイ脆弱性に対するセキュリティアップデートによって、攻撃者がコンピュータのハードドライブをデータで埋め尽くすことが可能になる恐れがある。この問題は、脆弱性を最初に報告した研究者によって指摘された。
Microsoftは水曜日、CVE-2026-50656として追跡されている脆弱性に対してパッチを公開した。このアップデートは、Defenderで使用されているMicrosoft Malware Protection Engineを対象としており、影響を受けるシステムに自動的にインストールされる。
研究者のNightmareEclipse氏は木曜日、追加された保護機能によってmpengine.dllファイルがデータを漏洩させる可能性があると報告した。これは、エンジンがSpyNetクラウドサービスを通じて特定のファイルを処理する際に、検疫コンテンツに対する通常のサイズ制限を回避することで発生する。
同研究者は、カスタムSMBサーバーを使用してこの挙動を誘発させる手法を説明した。悪意のあるファイルとサイズ超過のZone.Identifierストリームを組み合わせることで、Defenderがハングアップし、大量のディスク容量を占有してしまう可能性がある。
Microsoftはこの報告された副作用についてまだ確認していない。今回の開示は、今年初めから続いている同研究者とMicrosoftの間の論争を継続するものとなっている。