Microsoft

マイクロソフトは、攻撃に悪用されていたEntra IDアイデンティティおよびアクセス管理（IAM）プラットフォームの「最大深刻度」の脆弱性に対してパッチを適用しました。

以前は Azure Active Directory（または Azure AD）として知られていたこのプラットフォームは、クラウドベースの IAM プラットフォームであり、Microsoft 365、Azure、または Dynamics CRM Online の顧客に対し、アプリやリソース全体にわたる認証、ポリシーの適用、および保護機能を提供します。

CVE-2026-69836として追跡されているこの重大なセキュリティ脆弱性は、マイクロソフトのプリンシパル・セキュリティ・エンジニアであるロバート・フィッツパトリック氏によって発見されたもので、権限を持たない脅威アクターが、比較的単純な攻撃でコード実行権限を取得できるものでした。

image

マイクロソフトによると、CVE-2026-69836を悪用するコードは現時点でオンライン上には公開されておらず、この脆弱性にはすでに完全な修正パッチが適用されているため、ユーザーは特別な対応を必要としないとしています。

「Microsoft Entra IDにおける信頼できないデータの逆シリアライズにより、権限のない攻撃者がネットワーク経由でコードを実行できる」と、マイクロソフトは木曜日に公開したセキュリティアドバイザリで述べた。

「この脆弱性はすでにマイクロソフトによって完全に修正されています。このサービスのユーザーが講じるべき措置はありません。このCVEの目的は、さらなる透明性を確保することにあります。」

同社はこれ以上の情報を公開しておらず、CVE-2026-69836の脆弱性を悪用した攻撃に関する詳細を尋ねた際、マイクロソフトの広報担当者は直ちにコメントを返すことができなかった。

昨日、 マイクロソフトは、さらに4つの「最大」深刻度の脆弱性に対処した。そのうち3つは、認証されていない攻撃者がAzure Arc（CVE-2026-65816およびCVE-2026-69555）およびExchange Online（CVE-2026-65801）上でリモートで権限を昇格させることを可能にするものだった。4つ目の脆弱性（CVE-2026-65770）は、Apache Cassandra用のAzure Managed Instance上でリモートコード実行を可能にするものでした。

2025年9月には、Outsider Securityのセキュリティ研究者であるDirk-jan Mollema氏によって報告された、Entra IDの別の重大な権限昇格の脆弱性（CVE-2025-55241）に対するパッチを適用しました。この脆弱性により、攻撃者は世界中のあらゆる企業のMicrosoft Entra IDテナントへの完全なアクセス権を取得することが可能となっていました。

金曜日、CISAはまた、WindowsのInternet Key Exchange（IKE）サービス拡張コンポーネントに存在する重大な深刻度のリモートコード実行（RCE）脆弱性について、現在積極的に悪用されていると指定しました。