概要
Microsoftは、クラウドベースのID・アクセス管理サービス「Entra ID」に、CVSSスコア10.0(最高深刻度)の脆弱性CVE-2026-69836が存在し、実際の環境で悪用されたことを確認したと発表した。この脆弱性は認証を必要とせず、ネットワーク経由で任意のコードを実行できるという極めて深刻なものだが、Microsoft側で既に修正が完了しているため、ユーザー側での追加対応は不要とされている。悪用の具体的な手口や被害範囲についての詳細は現時点で公表されていない。
技術的な詳細
CVE-2026-69836は、信頼されていないデータの逆シリアライゼーション(デシリアライゼーション)処理に起因する欠陥だ。アプリケーションがユーザーが制御可能なデータを十分な検証なしにオブジェクトやコード構造へ変換してしまうことで生じるタイプの脆弱性であり、認可されていない攻撃者がネットワーク越しにコードを実行できる状態にあった。悪用が成功した場合、任意のコード実行のほか、サービス拒否(DoS)やアクセス制御の迂回といった影響も引き起こしうる。この脆弱性はPrincipal Security EngineerのRobert Fitzaptrick氏によって報告された。
対応状況
Microsoftはこの脆弱性についてクラウドサービス側で完全な緩和策を適用済みであるとしており、Entra IDを利用するユーザーやテナント管理者が個別にパッチ適用や設定変更などの対応を行う必要はないと明言している。ただし、修正前の期間に実際の悪用が確認されているため、影響を受けた可能性のある組織は、認証ログや管理操作の履歴に不審な挙動がなかったか、念のため確認しておくことが望ましい。