Microsoftのシステムが外部パッケージを実行？ 依存関係混乱を巡る攻防：研究者とMSRCが真っ向対立

Microsoftのシステムで、第三者が公開したnpmパッケージが実行された。研究者は重大なサプライチェーンリスクだと訴えるが、Microsoftは脆弱性ではないと判断した。なぜ同じ事実を前に評価が真っ二つに割れたのか。

[＠IT]

　Microsoftのシステムが、第三者が公開したnpmパッケージを実行していた可能性が浮上した。サイバーセキュリティ研究者のワヒード・ファヤード氏は2026年6月2日（現地時間）、「Azure Portal」に関連する調査の中で、自身が公開したパッケージがMicrosoft管理下の環境で実行されたと報告した。一方、Microsoftは、本番環境への影響はなく脆弱（ぜいじゃく）性ではないとしている。

　今回の事案は「依存関係混乱」と呼ばれるソフトウェアサプライチェーン攻撃で発生する問題だ。企業が社内専用のパッケージを利用している場合、そのパッケージ名が公開レジストリ（npmなど）で保護されていなければ、第三者が同じ名前のパッケージを登録できてしまう。するとシステムが誤って外部のパッケージを取得し、攻撃者のコードを実行する恐れがある。

MSRCは脆弱性認定せず、研究者は反発

　ファヤード氏はAzure Portal（portal.azure.com）で配信されているJavaScriptを調査する中で、「FxInternal/NetDiagnostics」という内部モジュールへの参照を発見した。同氏がnpmレジストリを確認したところ、「@fxinternal」という組織名と「netdiagnostics」というパッケージ名はいずれも未登録だったという。

　そこで同氏はまず同名のパッケージを登録し、その後、実際に取得されたかどうかを確認するため、外部に通信する機能を組み込んだ「@fxinternal/netdiagnostics」パッケージを公開した。すると公開直後、Microsoftが管理する環境からパッケージがダウンロードされ、実行されたことを示す通信を受信したという。

　通信元はMicrosoftに割り当てられたネットワーク（AS8075）で、送信された情報には実行環境のホスト名やユーザー名、ローカルの「node_modules」パスなどが含まれていたとされる。ファヤード氏はこれを「Microsoft側システムで実際にコードが実行された証拠」だと主張している。

　同氏はこの結果を「Microsoft Security Response Center」（MSRC）に報告し、外部から任意コードを実行できる可能性があることから、リモートコード実行（RCE）につながる重大な問題だと説明した。

　しかしMSRCは「FxInternal/NetDiagnostics」はAzure Portal内部で利用されるコンポーネントであり、実際の攻撃につながる脆弱性とは考えにくいと回答したという。

　その後の調査でもMSRCは判断を変えなかった。MicrosoftのIPアドレスから通信が発生した事実は認めたものの、それは本番環境や開発用ビルド環境ではなく、ソフトウェアの安全性を確認する自動化セキュリティツールによるものだったとしている。

　つまり両者の対立点は、「Microsoft側でコードが実行された事実」をどう評価するかにある。ファヤード氏は、「どの環境で実行されたかではなく、第三者が取得したパッケージ名のコードがMicrosoftのシステムで動いてしまったこと自体が問題だ」と主張している。一方MSRCは「攻撃者が本番環境や開発環境にコードを混入できたわけではなく、脆弱性とは言えない」との立場で一貫している。

Microsoft以外にも影響する可能性

　ファヤード氏は、この問題はMicrosoft内部だけの話ではないと指摘する。

　Azure Portalで公開されているJavaScriptには問題のパッケージ名が含まれているため、それらを参照する外部開発者やパートナー企業のシステムでも、設定によっては同じパッケージを取得してしまう可能性があるという。

　また同氏は「内部向けだから公開されないだろう」と考えてパッケージ名を放置することは危険だと警鐘を鳴らす。公開レジストリで名称を事前に確保していなければ、その名前を最初に登録した第三者にサプライチェーンの安全性を委ねることになるためだ。

　なお、この事案は後に「GitHub Advisory Database」に登録され、「GHSA-83x6-432q-hpcf」が付与された。分類は「Embedded Malicious Code（CWE-506）」で、重大度は9.3（Critical）と評価されている。

　今回の事案は、依存関係混乱への評価を巡って研究者とMicrosoftの見解が対立したケースと言える。ただし、公開レジストリで内部用パッケージ名を保護しておく重要性を改めて示した事例として、ソフトウェアサプライチェーンの観点から注目を集めている。