BlueHammer攻撃（CVE-2026-33825）｜Microsoft Defenderのゼロデイ脆弱性が企業に与えるリスクと即時対策

結論：4月の Windows Update を今すぐ適用してください

2026年4月8日の Patch Tuesday で、Microsoft は Windows Defender に存在する権限昇格（Elevation of Privilege）のゼロデイ脆弱性 CVE-2026-33825 を修正しました。CVSS v3.1 スコアは 7.8（High） です。

問題はタイムラインにあります。この脆弱性を突くエクスプロイトコード「BlueHammer」が 4月3日に GitHub 上で公開 され、Microsoft がパッチを配布した4月8日まで 5日間のゼロデイ期間 が生じました。その間、攻撃コードは誰でもダウンロード可能な状態でした。

つまり、4月8日より前に攻撃を受けていた可能性を否定できません。パッチ適用だけでなく、侵害の痕跡がないかの確認も必要です。

脆弱性の概要

項目	内容
CVE 番号	CVE-2026-33825
CVSS v3.1 スコア	7.8（High）
脆弱性の種類	権限昇格（Elevation of Privilege / EoP）
影響コンポーネント	Microsoft Defender（Windows Defender Antivirus Service）
エクスプロイト名	BlueHammer
エクスプロイト公開日	2026年4月3日（GitHub）
パッチリリース日	2026年4月8日（Patch Tuesday）
ゼロデイ期間	5日間（4/3〜4/8）
影響を受ける OS	Windows 10 / 11 / Server 2016以降（Defender が有効な全バージョン）
情報源	Tenable、BleepingComputer、Arctic Wolf

BlueHammer とは何か——攻撃の仕組みをわかりやすく解説

BlueHammer は、Microsoft Defender のサービスプロセスにおける権限管理の不備を突くエクスプロイトです。攻撃の流れを簡単に説明します。

攻撃ステップ

初期侵入 — フィッシングメール、既知の脆弱性の悪用などで、攻撃者がまず標的の PC に一般ユーザー権限でアクセスを確保する
BlueHammer 実行 — 攻撃者が BlueHammer を実行し、Defender のサービスプロセスに対して細工されたリクエストを送信
権限昇格 — Defender サービスの権限管理の不備を利用し、一般ユーザーから SYSTEM 権限（Windows の最高権限）を奪取
被害拡大 — SYSTEM 権限を得た攻撃者は、セキュリティソフトの無効化、バックドアの設置、ネットワーク内の横展開など、あらゆる操作が可能になる

なぜ「Defender」が狙われるのか

Microsoft Defender は Windows に標準搭載され、SYSTEM 権限で常時稼働しています。つまり、Defender のプロセスを乗っ取れば自動的に最高権限が手に入ります。セキュリティソフトが逆に攻撃の踏み台になるという、皮肉な構図です。

さらに、Defender は Windows PC のほぼ全台に存在するため、攻撃の汎用性が極めて高い点も攻撃者にとって魅力的です。

なぜ今回の脆弱性が特に深刻なのか

1. パッチ提供前にエクスプロイトが公開された

通常のゼロデイは、攻撃が観測された後にベンダーが修正パッチを出す流れです。今回はエクスプロイトコードそのものが GitHub で公開され、技術力の低い攻撃者でも即座に悪用できる状態になりました。BleepingComputer の報道によれば、公開から24時間以内にダークウェブのフォーラムで BlueHammer を活用した攻撃チュートリアルが出回り始めたとされています。

2. 権限昇格は「攻撃チェーンの要」

CVE-2026-33825 は単独で PC に侵入する脆弱性ではありません。しかし、権限昇格は攻撃チェーンにおいて最も重要なピースの一つです。ランサムウェアの展開、Active Directory の侵害、機密データの窃取——いずれも SYSTEM 権限があって初めて成功率が飛躍的に上がります。

Arctic Wolf の分析では、BlueHammer が公開された4月3日以降、権限昇格を伴う不審な活動の検知件数が前週比で約3倍に増加したと報告されています。

3. ほぼすべての Windows 端末が対象

Defender は Windows 10/11 に標準搭載され、サードパーティのセキュリティソフトを導入していない企業では主力の防御ツールです。日本の中小企業では Defender をメインのウイルス対策として運用しているケースが多く、影響範囲は極めて広いといえます。

「パッチは当てた。でも、4月3日〜8日の間に侵害されていないか不安」

ゼロデイ期間中の侵害有無を確認するには、イベントログやEDRログの専門的な分析が必要です。GXO株式会社では、中小企業のセキュリティ調査と体制構築を支援しています。

セキュリティ相談を予約する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

今すぐ実施すべき対策

即時対応（24時間以内）

[ ] Windows Update を実行 し、4月の累積更新プログラムが適用されていることを確認
[ ] Defender の定義ファイルが最新であることを確認（「Windows セキュリティ」→「ウイルスと脅威の防止」→「更新プログラムのチェック」）
[ ] 全社に対し「Windows Update を今すぐ実行・再起動してください」と通知を発信
[ ] WSUS / Intune / Configuration Manager で4月パッチの展開状況を確認し、未適用端末を特定

侵害確認（1週間以内）

4月3日〜8日の間に攻撃を受けていた可能性があるため、以下を確認します。

[ ] Windows イベントログ（セキュリティログ、Sysmon）で、4月3日以降に SYSTEM 権限への不審な昇格 がないか確認
[ ] Defender のスキャンログに異常な無効化・停止の記録がないか確認
[ ] EDR を導入済みの場合、4月3日以降の「権限昇格」「ラテラルムーブメント」関連アラートを精査
[ ] ネットワークログで未知の外部 IP への通信がないか確認

中期対応（1か月以内）

[ ] パッチ管理体制の見直し（Patch Tuesday から全社適用完了までの目標日数を設定）
[ ] EDR 未導入の場合は導入を検討（Defender のみでは権限昇格攻撃の検知が困難）
[ ] LAPS（Local Administrator Password Solution）の導入でローカル管理者パスワードの一元管理
[ ] 攻撃面の縮小（Attack Surface Reduction / ASR）ルールの有効化

Windows Update の確認手順

対策は5分で完了します。 以下を実行してください。

Windows 11 の場合

「設定」→「Windows Update」を開く
「更新プログラムのチェック」をクリック
2026-04 累積更新プログラム が表示された場合はインストール
インストール完了後、必ず再起動する
再起動後、再度「Windows Update」を開き「最新の状態です」と表示されることを確認

Windows 10 の場合

「設定」→「更新とセキュリティ」→「Windows Update」を開く
「更新プログラムのチェック」をクリック
以降は Windows 11 と同じ手順

IT管理者向け：PowerShell での確認

4月8日以降のパッチが表示されれば適用済みです。

BlueHammer のタイムラインと教訓

今回の事案から企業が学ぶべきポイントを、時系列で整理します。

日付	出来事	教訓
4/3	BlueHammer エクスプロイトが GitHub に公開	脆弱性情報は攻撃者も監視している。公開から悪用までの時間はゼロに近い
4/3〜4/7	パッチ未提供のまま攻撃コードが拡散	パッチがない期間の緩和策（ASR ルール、EDR 監視強化）を事前に準備しておく必要がある
4/8	Microsoft が Patch Tuesday で修正を配布	定例パッチの即日適用体制が被害を分ける
4/8〜	パッチ未適用端末への攻撃が継続	「Patch Tuesday に出たから安心」ではなく、全端末への適用完了が起点

最大の教訓：「パッチ適用速度」が企業の生死を分ける

Tenable のレポートによると、パッチ公開から企業が適用を完了するまでの平均日数は 約30日 です。BlueHammer のように攻撃コードが事前に公開されるケースでは、30日は致命的に遅い。最低でも 重大な脆弱性には72時間以内の適用 を目標とすべきです。

よくある質問（FAQ）

Q1. サードパーティのセキュリティソフトを使っていれば影響はありませんか？

Defender を無効化してサードパーティ製品（ESET、Trend Micro 等）を使用している場合、Defender サービスの一部はバックグラウンドで動作を続けるケースがあります。念のため4月のパッチは適用してください。完全に無効化されている環境でも、将来 Defender を再有効化する可能性を考慮し、パッチ適用を推奨します。

Q2. 攻撃を受けたかどうかを簡易的に確認する方法はありますか？

以下の兆候があれば詳細調査を推奨します。

4月3日以降にセキュリティソフトが予期せず停止・無効化された
見覚えのないユーザーアカウントが作成されていた
タスクスケジューラに不審なタスクが登録されていた
イベントビューアーの「セキュリティ」ログに ID 4672（特殊権限のログオン）の不審なエントリがある

Q3. WSUS で4月パッチを配信しましたが、適用されない端末があります

よくある原因は以下の通りです。（1）端末が社内ネットワークに接続されていない（リモートワーク端末）。（2）WSUS のグループ承認が未完了。（3）端末のディスク容量不足で更新が失敗している。リモートワーク端末には Windows Update for Business や Intune 経由での配信を検討してください。

Q4. 権限昇格の脆弱性はリモートから直接悪用されますか？

CVE-2026-33825 はローカルでの権限昇格です。攻撃者が悪用するにはまず標的の PC に何らかの方法でアクセスする必要があります。ただし、フィッシングメールやリモートアクセスツールの脆弱性を経由して初期侵入を確保した後に BlueHammer を実行するという攻撃チェーンは十分に現実的です。「ローカルだから安全」とは考えないでください。