BigDiskBuster（ビッグディスクバスター）という、Microsoft Defender を狙う新しいゼロデイの話題が海外で出ています。Windows に最初から入っているウイルス対策「Defender」の更新を止めてしまう手口の実証コードで、2026 年 9 月 19 日に GitHub で公開されました。「え、Windows 標準の対策だけで大丈夫なの？」と、ざわっとした方もいると思います。
先に安心材料を 1 つ置くと、これはホームページを見ただけで乗っ取られる種類の話ではありません。ただ、仕組みを知ると気づかれにくさの点では、なかなか性格が悪い。この記事では、分かっていることと分かっていないことを分けて整理し、ご自宅のパソコンで数分で確かめられることをまとめます。
先に結論：BigDiskBuster は、Defender が更新をダウンロードし始めた瞬間だけ C ドライブの空きを隠しファイルで埋め、更新を失敗させる手口です。9 月 24 日時点で、パッチ・CVE・Microsoft の勧告は出ておらず、実際の攻撃で使われたという報告もありません。
家庭でやることは、Windows セキュリティの「保護の更新」で最終更新日時が最近になっているかを見ることです。日付が止まっていて、手動でも更新できないときに初めて疑えば足ります。
BigDiskBusterとは何か。Defenderの更新だけを止める「満席作戦」
名前はやたら強そうですが、やっていることは驚くほど地味です。私はこれを勝手に「満席作戦」と呼んでいます。Defender の新しい更新が C ドライブに乗り込もうとした瞬間、座席（空き容量）をぜんぶ埋めてしまう。乗れなかった更新はあきらめて帰る。帰ったのを見届けてから、そっと席を空ける。文字にすると、ただの嫌がらせです。
用語：BigDiskBuster とは、Microsoft Defender がプラットフォーム（本体）や定義ファイルの更新を取り込めないようにする、概念実証（PoC）のツールです。元マイクロソフトのセキュリティ研究者 Abdelhamid Naceri 氏が、2026 年 9 月 19 日に GitHub で公開しました。PoC とは「この攻撃は実際にできる」ことを示すための見本のプログラムのことです。
仕組みを報じた The Hacker News の説明を、要点だけ日本語にします。ポイントは「更新が来たときだけ満杯にして、終わったら元に戻す」ところです。
ツールは C ドライブで Defender の更新用の場所に新しいフォルダができるのを見張り、Defender がプラットフォームや定義の更新をダウンロードし始めると、残りの空き容量をすべて埋める大きさの隠しの一時ファイルを作って更新を失敗させる。Defender が作業用のフォルダを片付けるとファイルを消し、次の更新を待つ。Defender 自体は動き続けるが、検出のための中身は古くなっていく。
出典：The Hacker News「Researcher Drops BigDiskBuster Zero-Day PoC That Blocks Microsoft Defender Updates」
もう 1 つ、Windows の「悪意のあるソフトウェアの削除ツール」（MRT）のファイルをつかんだままにして、Windows Update が新しい版に差し替えられないようにする動きもあると報じられています。MRT は Windows Update で届く駆除用のツールです。つまり狙いは一貫していて、Windows の守りを壊すのではなく、古いまま置いておくことにあります。
ついでに言うと、公開した研究者は 2026 年 4 月から、Microsoft と調整しないまま Windows や Defender の未修正の欠陥を次々に公開している人物です。BleepingComputer によれば、4 月以降に出したゼロデイは 10 件あまり。今回はその最新作という位置づけです。
BigDiskBusterはどのくらい危ない？分かっていること・分かっていないこと
ここからは報道の中身を、事実だけで並べます。日付は 2026 年 9 月 24 日時点で、The Hacker News と BleepingComputer の記事に書かれている範囲です。
| 項目 | いま分かっていること |
|---|---|
| 公開日 | 2026 年 9 月 19 日（GitHub） |
| 止めるもの | Defender のプラットフォーム更新と定義ファイルの更新、MRT の差し替え |
| 対象 | サポート中のすべての Windows で動くとされる |
| 修正 | パッチ・CVE・Microsoft の勧告はいずれも無し |
| Microsoft | 取材にすぐには回答せず |
| 実際の悪用 | 報告なし |
| 第三者の検証 | 動作を独自に確かめた研究者はまだいない |
| 必要な権限 | 報道でははっきりしない |
表の最後の「必要な権限」は気になるところです。BleepingComputer は、同じ研究者が 4 月に出した似た手口の「UnDefend」が、一般ユーザーの権限で定義の更新を止められるものだったと紹介しています。ただ、BigDiskBuster も同じかどうかは書かれていません。
そして、いちばん大事な前提がこれです。BigDiskBuster はパソコンの中で実行されて、裏で動き続けて初めて効く道具です。メールを開いただけ、サイトを見ただけで勝手に入り込む仕組みは報じられていません。誰かが先に何らかの方法で、あなたのパソコンにプログラムを実行させている必要があります。
では「まだ悪用されていないから放っておいていい」かというと、そこは過去の例が気になります。
同じ研究者が以前に公開した BlueHammer、RedSun、UnDefend は、いずれも Microsoft が修正する前に実際の侵入で使われた。UnDefend は 4 月に公開され、5 月に CVE-2026-45498 として修正された。
出典：The Hacker News「Researcher Drops BigDiskBuster Zero-Day PoC That Blocks Microsoft Defender Updates」
ここで少しだけ考えてみます。攻撃する側にとって、ウイルス対策を「止める」のは実は下手なやり方です。止めれば Windows が警告を出し、持ち主が気づく。ところが BigDiskBuster のやり方だと、Defender は動き続けたまま、中身だけが古くなっていく。盾を割るのではなく、盾のアップデートだけを止める。これは後から来る本命のマルウェアのための下ごしらえとして、とても都合がいい……と、攻撃する側の気持ちを代弁し始めたので、このへんで止めます。家庭のパソコンで見るべき場所は、はっきりしています。
メモ：会社や事業所でパソコンを管理している方向けに、The Hacker News は、更新の失敗が繰り返されていないか、空き容量が少ない状態が続いていないか、一時フォルダに大きな隠しファイルが無いかを見張ることを挙げています。見知らぬプログラムの実行を WDAC や AppLocker で制限すれば、このツールを動かされにくくなるとも書いています。
家庭のPCで確かめること。「保護の更新」の日付と空き容量
ここからが本題です。BigDiskBuster が動いているかどうかを家庭で直接見分ける方法はありませんが、「Defender の更新が止まっていないか」は誰でも見られます。Microsoft のサポートページでも、定義（セキュリティ インテリジェンス）は Windows Update の一部として自動でダウンロードされ、手動で確かめることもできると案内されています。
- タスクバーの検索に「Windows セキュリティ」と入力して開く。
- 「ウイルスと脅威の防止」を開く。
- 「ウイルスと脅威の防止の更新」の欄にある「保護の更新」を開き、セキュリティ インテリジェンスの最終更新日時を見る。
- 「更新プログラムのチェック」を押し、しばらく待って日時が新しくなるかを見る。
- エクスプローラーで「PC」を開き、C ドライブの空き容量を見る。
ふだん使っているパソコンなら、最終更新日時が何日も前で止まっていることは、まずありません。手動で更新して日時が新しくなれば、ひとまず大丈夫です。逆に、日付が止まっていて、手動の更新も何度やっても失敗するなら、そこで初めて原因を探す段階に入ります。
ここ、見落としがちです：BigDiskBuster は更新が失敗したあと、埋めたファイルを消して空き容量を元に戻します。つまり、あとからエクスプローラーで空き容量を見ても、ふつうの数字に見えることがあります。空き容量だけを見て安心せず、「保護の更新」の日付とセットで見てください。
もう 1 つ覚えておいてほしいのは、BigDiskBuster が無くても、C ドライブの空きが少ないパソコンは更新そのものに失敗しやすいことです。今回の手口は、言ってみれば「空き不足」をわざと起こしているだけ。空きがぎりぎりのまま使っているパソコンは、攻撃されなくても同じ状態になりえます。
Windows セキュリティの画面は、ほかにも「ウイルス対策が無効です」のような通知で持ち主をどきっとさせることがあります。通知が実は誤表示だったケースの確かめ方は、こちらの記事にまとめています。
慌てて対策ソフトを入れ替える前に。普段からできる備え
「Defender にゼロデイ」と聞くと、市販のウイルス対策ソフトに乗り換えたくなる気持ちは分かります。ただ、今回報じられているのは Defender の更新処理を狙う手口で、他社の製品にどう影響するかは報じられていません。そもそも BigDiskBuster は、先にパソコンの中で動かされないと始まらない道具です。入り口をふさぐほうが、盾を取り替えるより効きます。
- 出どころの分からないソフトや「高速化ツール」を入れない
- メールの添付ファイルや、広告の「今すぐ更新」ボタンを開かない
- C ドライブの空きに余裕を持たせる（ぎりぎりで使わない）
- 大事なデータは、パソコンとは別の場所にもバックアップしておく
- 月に 1 回は「保護の更新」の最終更新日時を見る
5 つ並べましたが、効き目が大きいのは最初の 2 つです。今回のような道具は、単体で飛んでくるのではなく、何かのソフトやファイルに紛れて入ってくるのが基本。無料のソフトを探しているときや、画面に出た警告に慌てたときが、いちばん危ない瞬間です。
ウイルス対策ソフトを買い足さなくても、Windows 標準の機能と別の検査ツールを組み合わせて、定期的に中を点検する方法もあります。考え方は次の記事で紹介しています。
一方で、日付が止まったまま動かない、C ドライブの空きが理由もなく減ったり戻ったりする、という場合は、何かが常駐している可能性も考えます。そのときに気をつけてほしいのが、次のことです。
注意：更新が何度やっても失敗するからといって、いきなり初期化やリカバリーをしないでください。初期化すると C ドライブのデータは消え、しかも何が原因だったのかを後から確かめられなくなります。先に大事なデータを別の場所へ移してから、次の手を考えてください。
自分で原因を探すのが不安な方は、ご来店か出張で、入っているソフトや更新の状態を一緒に点検できます。バックアップを取ってから持ってきていただけると、話が早く進みます。
よくある質問
ホームページを見ているだけで、BigDiskBusterに感染しますか？
報じられている仕組みでは、ホームページを見るだけで入り込むものではありません。BigDiskBuster はパソコンの中で実行されて裏で動き続けることで Defender の更新を妨げる道具で、先に何らかの方法でプログラムが実行されていることが前提です。出どころの分からないソフトや添付ファイルを開かないことが、いちばんの予防になります。
Defenderをやめて、市販のウイルス対策ソフトに替えたほうがいいですか？
今回の件だけを理由に、急いで替える必要はありません。報じられているのは Defender の更新処理を狙う手口で、他社の製品への影響は報じられていません。まずは Windows セキュリティの「保護の更新」で、最終更新日時が最近になっているかを確かめてください。
「保護の更新」の最終更新日時が何日も前のままです。どうすればいいですか？
まず「更新プログラムのチェック」で手動の更新を試し、C ドライブの空き容量も確かめてください。それでも失敗を繰り返す場合は、空き容量の不足のほか、不審なプログラムが常駐している可能性もあります。初期化などを試す前に、大事なデータのバックアップを取ってから点検に出すのが安全です。
まとめ
BigDiskBuster は、Defender の更新が来た瞬間だけ C ドライブを隠しファイルで埋めて更新を失敗させ、終わったら何事もなかったように空きを戻す手口です。2026 年 9 月 19 日に公開され、9 月 24 日時点でパッチも CVE も出ていませんが、実際の攻撃で使われたという報告もまだありません。そして、パソコンの中で先に動かされないと始まらない道具です。
満席作戦の相手は、空き容量と更新の日付です。だから見る場所も同じ 2 つ。「保護の更新」の日付が最近か、C ドライブに余裕があるか。これだけ確かめておけば、満席にされても気づけます。日付が止まったまま動かないときは、慌てて初期化する前に、ご来店か出張で見せてください。
