Microsoft Defender for Endpoint for Mac（MDE for Mac）のCVE-2026-54123は、ローカルで認証済みの攻撃者が、本来は管理者向けである除外設定を閲覧できる情報開示脆弱性です。影響を受けるのは、MDE for Macのバージョン101.26042.0020未満です。
管理対象のMacでは、まずmdatp health --field app_versionを実行し、101.26042.0020以降であることを確認してください。Microsoftは、未更新端末向けの別の回避策を提示していません。MSRCの評価では実悪用は確認されておらず、更新公開前の一般公開もなく、悪用可能性は低いとされていますが、除外設定は攻撃回避の手掛かりになり得るため、更新を省略してよい脆弱性ではありません。(Microsoft Security Response Center)
CVE-2026-54123の概要
CVE-2026-54123は、Microsoft Defender for Endpoint for Macにおける情報開示の脆弱性です。CVEレコードではCWE-200に分類され、CVSS v3.1の基本値は5.5、深刻度は「Medium」とされています。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-54123 |
| 対象製品 | Microsoft Defender for Endpoint for Mac |
| 脆弱性の種類 | 情報開示 |
| CWE | CWE-200：権限のない主体への機密情報の露出 |
| 影響バージョン | 101.0.0以上、101.26042.0020未満 |
| 修正バージョン | 101.26042.0020以降 |
| CVSS v3.1 | 5.5／Medium |
| 攻撃経路 | ローカル |
| 必要な権限 | 低い権限の認証済みユーザー |
| ユーザー操作 | 不要 |
| 主な影響 | 機密性への影響 |
| 実悪用 | MSRC上では確認なし |
| 悪用可能性 | 低いと評価 |
| 公式の回避策 | 別の回避策は未提示 |
CVSSベクトルはAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:Nです。つまり、ネットワーク越しに未認証で攻撃できる脆弱性ではなく、対象Macへローカルアクセスできる低権限ユーザーが攻撃の前提となります。一方で、攻撃の複雑さは低く、利用者によるファイル操作やクリックは必要ありません。
MDE for Macの除外設定が見えると何が問題なのか
MDE for Macでは、業務アプリケーションとの競合回避やパフォーマンス対策のため、次のような対象をウイルス対策スキャンから除外できます。
- 特定のファイル
- 特定のフォルダー
- 特定の拡張子
- 特定のプロセス
除外設定には、組織内で使われているアプリケーション名、開発環境、ビルド用ディレクトリ、業務データの保存先などが含まれることがあります。攻撃者がこれらを把握すると、どのファイルやプロセスがウイルス対策スキャンを受けにくいかを推測しやすくなります。
ただし、CVE-2026-54123だけで除外設定を変更したり、MDEを無効化したりできると確認されたわけではありません。公開されている評価では、完全性と可用性への影響は「なし」とされており、リモートコード実行や権限昇格の脆弱性でもありません。
| この脆弱性で想定されること | この脆弱性だけでは示されていないこと |
|---|---|
| 管理者向け除外設定の閲覧 | 除外設定の追加や変更 |
| 除外対象のファイルやプロセスの把握 | MDEの停止やアンインストール |
| 攻撃回避に利用できる情報の収集 | 管理者権限への昇格 |
| 内部のパスやアプリ構成の推測 | ネットワーク越しの未認証攻撃 |
| 攻撃後の探索コスト低減 | 任意コードの実行 |
除外設定が見えてもEDR全体が無効になるわけではない
MDE for Macのスキャン除外は、オンデマンドスキャン、リアルタイム保護、関連するウイルス対策監視に適用されます。一方、Microsoftの説明では、これらの除外はEndpoint Detection and Response（EDR）など、MDEのすべての機能に適用されるものではありません。
そのため、除外されたファイルやプロセスであっても、挙動によってはEDRのアラートや検出対象になる可能性があります。除外設定の漏えいを「MDEが完全に無力化される脆弱性」と表現するのは過大評価です。ただし、攻撃者が防御設定を把握できること自体は、侵入後の攻撃計画を立てやすくするため、軽視すべきではありません。(Microsoft Learn)
悪用可能性が低くても更新を後回しにしない理由
MSRCが「悪用可能性は低い」と評価しているのは、更新を行わなくても安全という意味ではありません。特に、すでに端末内へアクセスできるユーザーや攻撃者を前提とする脆弱性では、端末の利用形態によって実際のリスクが変わります。
優先的に更新すべきMac
次の端末は、通常の一人一台端末より優先度を上げて対応するのが妥当です。
| 優先度 | 対象となる端末の例 | 理由 |
|---|---|---|
| 最優先 | 不審なログインやMDEアラートが発生しているMac | すでにローカルアクセスを得た攻撃者が存在する可能性がある |
| 高 | 複数ユーザーで共有しているMac | 低権限のローカルユーザーが存在しやすい |
| 高 | 開発、ビルド、CI/CD用のMac | プロセスや作業フォルダーの除外が設定されている場合がある |
| 高 | 委託先や一時利用者にアカウントを発行しているMac | ローカル認証済みユーザーの範囲が広い |
| 高 | 管理者端末や機密情報を扱うMac | 除外設定以外の内部構成情報も攻撃に利用されやすい |
| 通常 | 個人専用で、一般ユーザー権限のみを利用するMac | 攻撃条件は限定されるが、修正版への更新は必要 |
「インターネットに公開していないから問題ない」という判断も適切ではありません。この脆弱性の攻撃経路はネットワークではなくローカルです。フィッシング、認証情報の窃取、不正アプリの実行など、別の手段で端末へ侵入された後に利用される可能性を考える必要があります。
まずMDE for Macのapp_versionを確認する
CVE-2026-54123への対応状況は、ウイルス定義のバージョンではなく、MDEアプリケーションのバージョンで判定します。
ターミナルで次のコマンドを実行してください。
mdatp health --field app_version出力例が次のようになっていれば、CVE-2026-54123の修正基準を満たしています。
101.26042.0020101.26042.0020より大きいバージョンも修正済みです。MicrosoftのCVEレコードでは、101.26042.0020未満が影響対象とされています。mdatp healthのapp_versionフィールドは、インストールされているMDE for Macのアプリケーションバージョンを示します。
確認するバージョンを間違えない
MDE for Macには、複数のバージョン情報があります。
| バージョン項目 | 役割 | CVE判定に使うか |
|---|---|---|
| app_version | MDE for Mac本体のバージョン | 使用する |
| release version | リリースノート上の製品リリース番号 | 対応関係の確認に使える |
| engine version | マルウェア対策エンジンのバージョン | 単独では判定しない |
| signature version | ウイルス定義のバージョン | 判定に使わない |
修正基準となるapp_versionの101.26042.0020は、リリースノート上ではリリースバージョン20.126042.20.0に対応します。定義ファイルだけを最新化しても、MDE本体が古いままであればCVE-2026-54123の修正確認にはなりません。(Microsoft Learn)
101.26042.0020は最低ライン
101.26042.0020は、CVE-2026-54123に対する最低限の修正バージョンです。長期運用では、このバージョンへ固定するのではなく、Microsoftが提供するCurrentチャネルの最新安定版を適用する方が適切です。
2026年8月30日時点のMicrosoftリリースノートでは、macOS向けの新しいバージョンとして101.26062.0012が掲載されています。すでにこれ以降へ更新されている端末は、CVE-2026-54123の修正基準も満たします。(Microsoft Learn)
MDE for Macを101.26042.0020以降へ更新する手順
MDE for Mac本体の更新には、Microsoft AutoUpdate（MAU）が使用されます。端末が通常どおり管理され、Currentチャネルで更新を受け取っていれば、自動的に修正版へ移行している可能性があります。
ただし、自動更新を有効にしているだけで対応完了と判断せず、更新後のバージョン確認まで行うことが重要です。
Microsoft AutoUpdateから手動更新する
管理者権限を持つ端末で、Microsoft AutoUpdateのコマンドラインツールを使用して更新できます。
cd "/Library/Application Support/Microsoft/MAU2.0/Microsoft AutoUpdate.app/Contents/MacOS"
./msupdate --install --apps wdav00更新後、次のコマンドで状態を確認します。
mdatp health --field app_version
mdatp health --field healthy
mdatp health --field release_ring確認するポイントは次のとおりです。
app_versionが101.26042.0020以上であるhealthyがtrueである- 意図した更新チャネルが設定されている
- MDEの主要機能が有効な状態を維持している
Microsoft AutoUpdateでは、MDE for MacのアプリケーションIDとしてwdav00を指定できます。更新チャネルには安定版のCurrentのほか、PreviewやBetaがあります。通常の業務端末では、検証目的がなければCurrentチャネルを使用します。(Microsoft Learn)
IntuneやMDMで一括対応する
管理台数が多い場合は、端末ごとに手作業で確認するのではなく、IntuneやJamf ProなどのMDMで次の流れを実施します。
- 全MacからMDEの
app_versionを収集する - 101.26042.0020未満の端末を抽出する
- 検証用端末へ先行配信する
- 業務アプリやパフォーマンスへの影響を確認する
- 対象端末全体へ展開する
- 更新できなかった端末を再抽出する
- 101.26042.0020以上を準拠条件として継続監視する
バージョン比較をスクリプトで行う場合は、単純な文字列比較を避けてください。101、26042、0020のように各セグメントを数値として比較した方が、将来バージョンの桁数が変わった場合にも誤判定を防ぎやすくなります。
Intuneでは、Microsoft AutoUpdateの構成プロファイルを配布し、MDE for Macの更新チャネルを管理できます。MAUのチャネル設定をグローバルに変更すると、MDE以外のMicrosoftアプリにも影響する可能性があるため、既存のOffice更新ポリシーとの競合を確認してから配布してください。(Microsoft Learn)
更新できない端末で確認するポイント
msupdateを実行してもバージョンが上がらない場合は、次の順番で原因を切り分けます。
Microsoft AutoUpdateが正常に動作しているか
Microsoft AutoUpdate自体が削除されている、破損している、またはMDMの制限を受けていると、MDE本体を更新できません。
次のディレクトリが存在するか確認します。
ls -ld "/Library/Application Support/Microsoft/MAU2.0/Microsoft AutoUpdate.app"存在しない場合は、MDEの導入パッケージやMDM配布手順を見直し、Microsoft AutoUpdateを含む正規の構成へ戻します。
更新チャネルが固定されていないか
PreviewやBetaを意図せず設定している場合だけでなく、古い構成プロファイルが残り、期待するCurrentチャネルへ移行できていない場合があります。
次のコマンドでMDE側から認識されているリリースリングを確認します。
mdatp health --field release_ringMDM側では、端末に適用されている構成プロファイルと優先順位も確認してください。新しいポリシーを作成しても、旧プロファイルが残っていると設定が競合することがあります。
Microsoftのサービスへ接続できるか
プロキシ、Webフィルター、SSLインスペクション、ファイアウォールなどにより、更新先への通信が遮断されている場合があります。
MDEの接続テストを実行します。
mdatp connectivity test失敗した場合は、通信先の許可設定、プロキシ構成、証明書検査の影響を確認します。
サポート対象外のmacOSではないか
古いmacOSを継続利用している場合、新しいMDEプラットフォームを正常に受け取れない可能性があります。2026年8月30日時点のMicrosoft情報では、MDE for Macのサポート対象はmacOS 14 Sonoma以降です。
サポート対象外のmacOSで更新が停止している場合、MDEだけを修復するのではなく、macOSのアップグレードまたは端末更改を含めて対応する必要があります。(Microsoft Learn)
公式の回避策がない場合の暫定対応
Microsoftは、101.26042.0020以降への更新とは別に、CVE-2026-54123を完全に防ぐ回避策を提示していません。そのため、次の対策はあくまで更新完了までのリスク低減策であり、修正版の適用を置き換えるものではありません。(Microsoft Security Response Center)
- 不要なローカルアカウントを無効化または削除する
- 共用Macへのログインを必要最小限に制限する
- 一時利用者や委託先アカウントの有効期限を確認する
- 管理者権限を日常利用アカウントへ付与しない
- 広すぎるフォルダー除外や拡張子除外を見直す
- 用途が不明な古い除外設定を管理者レビューの対象にする
- 除外設定の内容をチケットやチャットへ不用意に掲載しない
- 不審な端末は通常端末より先に隔離、調査、更新する
exclusionsMergePolicyは回避策にならない
MDE for Macには、ローカルユーザーが独自の除外設定を追加できないようにするexclusionsMergePolicyがあります。値をadmin_onlyにすると、管理者が配布した除外設定だけを使用する構成にできます。
これは、利用者による勝手な除外追加を防ぐためには有効です。しかし、CVE-2026-54123は除外設定の閲覧に関する脆弱性であり、admin_onlyを設定しただけで情報開示を修正できるとは示されていません。管理強化には役立ちますが、更新の代替にはなりません。(Microsoft Learn)
除外設定をすべて削除するのは避ける
除外設定が問題になるからといって、業務影響を調査せずに全削除するのは危険です。除外には、アプリケーションの競合回避や処理負荷の軽減など、運用上の理由がある場合があります。
見直す際は、各除外について次の情報を記録します。
| 確認項目 | 判断内容 |
|---|---|
| 対象 | ファイル、フォルダー、拡張子、プロセスのどれか |
| 設定理由 | どの製品や業務要件のために必要か |
| 申請者・管理者 | 誰が設定を承認したか |
| 作成日 | いつ追加されたか |
| 有効期限 | 一時的な除外か、恒久的な除外か |
| 影響範囲 | 全端末か、特定部署・端末だけか |
| 代替策 | より限定的な除外へ変更できないか |
たとえば、アプリケーションが使用する親フォルダー全体を除外している場合は、必要な実行ファイルや作業用サブフォルダーだけに絞れないか確認します。Microsoftも、除外設定は保護範囲を狭めるため、理由や期限を文書化し、対象を必要最小限にすることを推奨しています。(Microsoft Learn)
対応時によくある失敗
ウイルス定義が最新なので修正済みと判断する
CVE-2026-54123の判定対象はapp_versionです。定義ファイルやエンジンが最新でも、MDE本体が101.26042.0020未満なら修正済みとは判断できません。
101.26042.0020を超えているのに古いと誤判定する
101.26042.0020は最低バージョンです。101.26062.0012など、より新しいバージョンは修正済みです。「指定された番号と完全一致していない」という理由で、正常な最新版を未対応扱いしないでください。
自動更新を設定しただけで完了にする
自動更新を有効にしていても、端末が長期間オフラインだった、MAUが破損している、プロキシで通信できない、MDMポリシーが競合しているといった理由で更新されない場合があります。
完了条件は「更新ポリシーを配布したこと」ではなく、各端末から101.26042.0020以上の実測値を取得できたことです。
「悪用なし」を「対策不要」と解釈する
実悪用が確認されていないことは、今後も悪用されないことを保証しません。また、ローカル攻撃を前提とするため、インターネット公開資産のスキャンだけではリスクを把握できません。
admin_onlyを適用して更新を止める
exclusionsMergePolicyのadmin_onlyは除外設定の管理方法を制御する機能であり、脆弱性そのものの修正ではありません。設定済みであっても、MDE本体を更新してください。
悪用が疑われる場合の対応
不審なログイン、マルウェア検出、MDEの警告、未知のプロセスなどが同時に確認されている場合は、単にMDEを更新するだけでは不十分です。修正版への更新は、更新後の悪用を防ぐものであり、すでに侵入した攻撃者や作成済みの不正ファイルを自動的に排除するものではありません。
次の対応を並行して実施します。
- 対象Macを必要に応じてネットワークから隔離する
- MDEポータルのアラートとデバイスタイムラインを確認する
- ローカルアカウントの作成・変更履歴を確認する
- 除外対象のフォルダーやプロセス周辺に不審なファイルがないか調査する
- 一時アカウントや委託先アカウントの利用履歴を確認する
- MDEを修正版へ更新する
- 認証情報の侵害が疑われる場合はパスワードやトークンを失効させる
- 必要に応じてMicrosoftサポートへ提出する診断情報を収集する
MDE for Macの診断情報は、次のコマンドで収集できます。
sudo mdatp diagnostic create生成された診断ファイルにはセキュリティ製品の構成やログが含まれる可能性があるため、社外のファイル共有サービスへ不用意にアップロードしないでください。社内のインシデント対応手順またはMicrosoftサポートの案内に従って取り扱います。(Microsoft Learn)
CVE-2026-54123対応で今すぐ行うこと
CVE-2026-54123は、MDE for Macの管理者向け除外設定が認証済みローカル攻撃者に閲覧される可能性がある情報開示脆弱性です。リモートから未認証で侵入される脆弱性ではなく、MSRCも悪用可能性を低いと評価しています。
一方、公式の別回避策はなく、除外情報が侵入後の攻撃回避に使われる可能性があります。実務では、次の順番で対応してください。
- 全Macの
app_versionを収集する - 101.26042.0020未満の端末を抽出する
- Microsoft AutoUpdateまたはMDMでCurrentチャネルの最新版へ更新する
- 更新後に
app_versionとhealthyを再確認する - 広すぎる除外設定、不要なローカルアカウント、更新失敗端末を見直す
最も重要なのは、配布操作をしたかどうかではなく、すべての対象端末で101.26042.0020以上を確認できたかです。未更新端末を残さず、更新後の実測結果まで管理することが、CVE-2026-54123への確実な対応となります。
コメント