Entra IDにCVSS 10.0の脆弱性 認証不要でコード実行の恐れ、必要な対策は？：認証不要で悪用低難度

認証もユーザー操作も必要ない。Microsoft Entra IDで、ネットワーク経由の攻撃によってコードを実行される恐れのある脆弱性が見つかった。CVSS基本値は10.0だ。Microsoft 365やAzureなどの認証基盤を支えるサービスで何が起きていたのか。

[＠IT]

　Microsoftは2026年8月20日（現地時間、以下同）、「Microsoft Entra ID」（以下、Entra ID）で見つかったリモートコード実行（RCE）の脆弱（ぜいじゃく）性「CVE-2026-69836」を公表した。

　信頼できないデータのデシリアライゼーションが原因で、認証されていない攻撃者がネットワーク経由でコードを実行できる可能性がある。CVSS 3.1の基本値は上限となる「10.0」で、最大深刻度「Critical」に分類されている。

Entra IDにCVSS 10.0の脆弱性　攻撃に複雑な操作は不要

　Entra IDは、旧称を「Azure Active Directory」とするクラウド型のID・アクセス管理サービスだ。ユーザーや端末、アプリケーション、各種リソースの認証やアクセス制御を担い、Microsoft 365やAzure、接続された各種アプリケーションなどへのアクセス基盤として利用されている。

　今回の脆弱性はCWE-502「信頼できないデータのデシリアライゼーション」に分類される。ネットワーク経由で攻撃可能で、攻撃の複雑さは低く、攻撃に認証やユーザー操作を必要としない。機密性、完全性、可用性への影響もいずれも「高」と評価されている。

　Microsoftによると、今回の脆弱性はサービス側で対策済みだ。Entra IDはMicrosoftが運用するクラウドサービスであるため、「Windows」などのソフトウェアのように利用者が更新プログラムをダウンロードして適用する必要はない。Microsoftは利用者に対し、追加の対応や防御手順を求めていない。

　つまり、CVSS基本値は最高の10.0である一方、利用者側でパッチを適用したり設定を変更したりする必要はない。これは脆弱性の深刻度が低いことを意味するものではなく、Microsoft側でサービスの修正を完了しているためだ。

　Microsoftは、今回CVEを公開した理由について、クラウドサービスで発見・修正した脆弱性について透明性を高めるためとしている。

公開翌日に「悪用なし」に訂正　企業側が続けるべきこと

　なお、公開当初の情報では悪用状況が「Yes」とされていたが、Microsoftは8月21日の改訂版1.1で「No」に変更した。Microsoftは脆弱性が実環境で悪用されていなかったことを明記しており、今回の変更は脆弱性そのものの深刻度や、利用者側の対応方針を変更するものではない。

　ただ、利用者側にパッチ適用などの作業がないからといって、今回の情報を「自社には関係ない」と片付けるのは早計だ。Entra IDは企業の認証・アクセス制御の中心に位置するため、ここを狙う攻撃は個々の端末やサーバへの攻撃とは異なり、複数のクラウドサービスや業務アプリケーションに影響を及ぼす可能性がある。

　今回のようにサービス側で修正が完了している場合、企業のセキュリティ担当者がまず確認すべきなのは「パッチを適用したかどうか」ではなく、「Entra IDを悪用された兆候がないかどうか」だ。

　具体的には、Entra IDのサインインログや監査ログを確認し、不審な場所や端末からのログイン、普段と異なる認証パターン、管理者権限の変更、アプリケーションやサービスプリンシパルに対する不審な操作などが発生していないかどうかを継続的に監視したい。特に特権アカウントについては、多要素認証を必須化し、不要な権限を削減するとともに、権限変更や新規アプリケーション登録などの操作を監視することが重要になる。

　また、クラウドサービスの脆弱性では、利用者側で脆弱性そのものを修正できないケースがある。だからこそ企業側には、ベンダーの「対応不要」という情報だけを確認して終わるのではなく、サービスの修正状況や悪用の有無、ログ上の兆候、そして自社の認証基盤に対する防御状況を切り分けて考える姿勢が求められる。

　今回のCVE-2026-69836は、まさにその典型だ。パッチを当てる必要はない。しかし、認証基盤を守るために企業がやるべきことまでなくなるわけではない。クラウド時代の脆弱性対応では、「修正プログラムを適用したかどうか」だけでなく、「ベンダー側の修正後に自社環境をどう監視するか」までを対応の一部として考える必要がある。