英語版で読む
技術 約6分で読めます

MiniPlasmaがフルパッチWindows 11でSYSTEM昇格、cldflt.sysはCVE-2020-17103の5年越し不完全パッチか

セキュリティ Microsoft Windows 脆弱性 CVE
いけさん目次

TL;DR

対象 Cloud Files Mini Filter Driver cldflt.sys の HsmOsBlockPlaceholderAccess ルーチン

影響 Windows 11 / 全Windowsバージョンが対象の可能性が高い（研究者自身の見解）

動作確認 Windows 11 + May 2026 update でPoCがSYSTEMシェルまで到達（Will Dormann確認）

動かない環境 Windows 11 Insider Preview Canary（少なくとも見えている範囲では再現せず）

CVE 本来は CVE-2020-17103 の不完全パッチ。新規CVEは現時点で未割当て

性質 レースコンディションのため成功率にばらつきあり（研究者談）

経緯 2020年9月にGoogle Project ZeroのJames Forshawが報告 → 2020年12月にMicrosoftがCVE-2020-17103として修正 → 2026年5月に同じバグが再発見

関連CVE CVE-2025-62221（同じ cldflt.sys の別の脆弱性、2025年12月に正体不明の攻撃者が悪用、CVSS 7.8）

PoC github.com/Nightmare-Eclipse/MiniPlasma（公開済み）

5月Patch Tuesday翌日にYellowKeyとGreenPlasmaを連発した研究者 Chaotic Eclipse（GitHubでは Nightmare-Eclipse 名義）が、続けて MiniPlasma を公開した。
こちらは2020年12月にMicrosoftが修正したはずの CVE-2020-17103（Windows Cloud Files Mini Filter Driver の特権昇格）と、5年経っても同じバグが残っていると主張するゼロデイだ。フルパッチのWindows 11（May 2026 update適用済み）で実際にSYSTEMシェルが取れる。

The Hacker NewsとBleeping Computerの記事を突き合わせると、注目すべきは「2025年12月に同じドライバの別の脆弱性 CVE-2025-62221 が実環境で悪用された直後に、本家のCVE-2020-17103そのものが再発していた」という時系列だ。
パッチを当てたつもりの本体側のバグが、いつの間にかそのまま残っていた、という話だ。

CVE-2020-17103からMiniPlasmaまでの時系列

時期出来事
2020-09Google Project Zero の James Forshaw が cldflt.sys の特権昇格バグをMicrosoftに報告
2020-12-09Microsoft が CVE-2020-17103 として12月Patch Tuesdayで修正、CVSS 7.8（NIST）
2025-12同じ cldflt.sys 内の別の脆弱性 CVE-2025-62221 が正体不明の攻撃者により実環境悪用、Microsoftが修正
2026-04Chaotic Eclipse が BlueHammer / RedSun / UnDefend を連続公開
2026-05-12Microsoft 5月Patch Tuesday
2026-05-13YellowKey（BitLocker bypass）と GreenPlasma（CTFMON LPE）公開
2026-05-18The Hacker News と Bleeping Computer が MiniPlasma を報じる、PoC GitHub 公開

NVDのCVE-2020-17103エントリは「Last Modified 2026-05-18」と更新されており、MiniPlasmaの公開を受けてエントリ自体の再評価が始まっている。

cldflt.sysの中で何が起きているか

cldflt.sys（Cloud Files Mini Filter Driver）はOneDriveなどの「クラウド上にあるがローカルにあるように見えるファイル」を扱うためのフィルタドライバだ。
ユーザーがクラウド側にしか実体がないファイルをダブルクリックしたタイミングで、プレースホルダ（実体ではなく実体への参照を持つ薄いファイル）を実体に置き換える挙動を担っている。

問題のルーチンは HsmOsBlockPlaceholderAccess。プレースホルダへのアクセス制御を行う関数だ。
ここでチェックと実際のアクセスの間にレースウィンドウがあり、攻撃者が間に割り込むことでSYSTEM権限のコンテキストで任意操作ができる、というのがMiniPlasmaの主張だ。

研究者自身が「success rate may vary since it’s a race condition（レースコンディションなので成功率は環境次第）」と書いており、環境差で外れることがあるタイプの脆弱性だ。一方で、SYSTEMシェルまで到達するフルチェーンのPoCが既にGitHubに置かれている。

graph TD
    A[非特権ユーザー<br/>cldflt経由でファイルアクセス] --> B[HsmOsBlockPlaceholderAccess<br/>でACLチェック]
    B --> C[レースウィンドウ<br/>チェックと実アクセスの間]
    C --> D[攻撃者スレッド<br/>placeholder実体を差し替え]
    D --> E[SYSTEM権限で<br/>差し替え後ファイルが処理]
    E --> F[任意コード実行 / SYSTEMシェル]

「フルパッチWindows 11 May 2026でも動く」「Insider Preview Canaryでは動かない」という観測は、Tharrosの Will Dormann が独立に再現確認したものだ。Will DormannはBlueHammer / YellowKey / GreenPlasmaでも動作確認を出している研究者で、Chaotic Eclipseシリーズのファクトチェックの起点になっている。

Canaryで動かないということは、Microsoft内部のどこかでこのバグに対する修正が既に進んでいるサインだ。ただし、現時点でCVE再割当てやアドバイザリの形では公開されていない。

同じドライバが半年で2回壊れている

cldflt.sys 関連で最近壊れているのはMiniPlasmaが初めてではない。

CVE公開概要悪用
CVE-2020-171032020-12HsmOsBlockPlaceholderAccess のレース修正済み（と思われていた）
CVE-2025-622212025-12同じ cldflt.sys 内の別の脆弱性、CVSS 7.8実環境で悪用、正体不明の攻撃者
MiniPlasma2026-05CVE-2020-17103と同一ルーチンの再発PoC公開、実環境悪用は未報告

ドライバ単位で見ると、わずか半年で「過去のパッチが復活した形で再発」「別の脆弱性が実環境悪用される」「PoC公開」と続けて出ている。OneDrive連携で常時動くコンポーネントなので、対象範囲は広い。

特にCVE-2025-62221が正体不明の攻撃者によって悪用されていた点は重要で、cldflt.sys は既にAPT級の攻撃者がペイロード（悪意あるコード本体）の置き場として目をつけているコンポーネントだということを意味している。MiniPlasmaが同じドライバの別経路を新しく開けたわけではなく、2020年の修正が後退した形になっているのが今回の核だ。

Chaotic Eclipseシリーズの中での位置づけ

MiniPlasmaは、Chaotic Eclipse（別名Nightmare-Eclipse）が4月から続けているWindowsゼロデイ連続公開の延長線上にある。

公開脆弱性対象状態
2026-04BlueHammerWindows Defender LPECVE-2026-33825、4月パッチ
2026-04RedSunDefender系サイレント修正と研究者が主張
2026-04UnDefendDefender系詳細未公開
2026-05-13YellowKeyBitLocker bypass未パッチ
2026-05-13GreenPlasmaCTFMON LPE未パッチ
2026-05-18MiniPlasmacldflt.sys LPE未パッチ（実体はCVE-2020-17103の不完全パッチ）

研究者は5月13日の時点で「6月Patch Tuesday向けにbig surpriseがある」と予告しており、MiniPlasmaがそれ自体なのか、まだ別のものが控えているのかは現時点でははっきりしない。
BlueHammerは Cloud Files API + VSS、MiniPlasmaは同じ cldflt.sys 本体、という具合に、Cloud Filesまわりの実装を研究者が継続して掘っているのは読み取れる。

RedSunのサイレント修正（アドバイザリも CVE 割当もなしに5月Update内で塞がれたと研究者が主張する件）に対する不満が、一連の公開の動機として語られている。Microsoft側の反応は今のところ公にされていない。

影響範囲と当面とれる行動

MiniPlasma自体は ローカル特権昇格 で、ネットワーク越しの初期侵入には使えない。攻撃者が既に標準ユーザー権限でコードを動かせる前提が必要だ。

そのうえで、cldflt.sys はOneDrive環境（事実上のデフォルト構成）に常駐するコンポーネントなので、対象端末数で見れば広い。

観点具体アクション
監視EDRで cldflt.sys 経由のプレースホルダアクセスから直後に高権限プロセスが立ち上がるパターンを拾えるか確認
OneDrive依存度Cloud Files同期を業務で使っていない端末では機能を無効化、もしくは利用者を絞る
初期侵入対策LPE単独では完結しないため、フィッシング・サプライチェーン経由のRCEを止める層を厚めにする
Patch Tuesday監視6月Patch Tuesday（2026-06-09 予定）で cldflt.sys 関連のCVEが再度切られるか確認。Canaryで既に塞がっている挙動から、6月での対応可能性は高め
Insider Preview検証業務影響のない範囲でCanaryビルドの挙動を見ておくと、6月リリース内容の予測に使える

OneDrive配下のプレースホルダ操作は通常運用でも頻発するため、cldflt.sys のテレメトリだけで攻撃を切り分けるのは難しい。直後の lsass 触りや SYSTEM 権限プロセスの新規起動など、後段との組み合わせで見るのが現実的だ。