Microsoftは、IDおよびアクセス管理プラットフォームEntra IDの重大なセキュリティ脆弱性を修正しました。同社は、攻撃者がこの脆弱性を攻撃に悪用していたと確認しています。識別子CVE-2026-69836が付与されたこの脆弱性は、最大深刻度であり、認証されていない攻撃者が、低い複雑度の攻撃を通じてネットワーク経由でコードを実行できるものでした。
Entra IDは、以前はAzure Active Directory、またはAzure ADとして知られていました。このプラットフォームは、Microsoft 365、Azure、Dynamics CRM Onlineの顧客向けに、アプリケーションやリソース全体で認証、ポリシー適用、保護のサービスを提供しています。そのため、IDレイヤーの障害は、関連するサービスやリソースへのアクセスに直接関係します。
脆弱性について分かっていること
この脆弱性を発見したのは、Microsoftの主任セキュリティエンジニアであるRobert Fitzpatrick氏です。同社のセキュリティアドバイザリによると、この問題はEntra ID内部で信頼できないデータをデシリアライズしていたことに起因し、権限のない攻撃者がネットワーク経由でコードを実行できるようにしていました。
Microsoftは、この脆弱性のエクスプロイトコードは現時点でインターネット上に公開されていないと述べていますが、これを悪用した攻撃の性質について追加情報を公表していません。また、BleepingComputerがこの脆弱性に関連するインシデントについてコメントを求めた際、同社の広報担当者も詳しい情報を提供しませんでした。
サービス利用者による対応は不要
Microsoftは、この脆弱性は同社側で完全に修正されており、Entra IDの利用者が何らかの手順を実行する必要はないと確認しました。同社は、CVE識別子の公開は問題の透明性を高めることを目的としており、顧客にローカルアップデートのインストールやサービス設定の変更を求めるものではないと説明しています。
なぜこのニュースが重要なのか
この脆弱性が重要なのは、Microsoftのクラウド環境におけるEntra IDの位置付けにあります。このプラットフォームは、複数の企業向けサービスにおける認証とアクセス規則の適用を担っています。公開された説明によると、この問題は事前の権限が不要で、リモートからコードを実行できるという特徴を併せ持っていました。一方、同社は攻撃による実際の結果や、悪用した組織については明らかにしていません。
Microsoftのサービスで見つかったその他の重大な脆弱性
この公表は、Microsoftが最大深刻度の別の4件の脆弱性を修正した翌日に行われました。そのうち3件は、認証されていない攻撃者がAzure ArcおよびExchange Onlineでリモートから権限を昇格できるもので、CVE-2026-65816、CVE-2026-69555、CVE-2026-65801です。4件目のCVE-2026-65770は、Azure Managed Instance for Apache Cassandraでリモートコード実行を可能にするものでした。
2025年9月、MicrosoftはEntra IDに存在する別の重大な脆弱性も修正しました。この脆弱性にはCVE-2025-55241が割り当てられ、Outsider Securityのセキュリティ研究者Dirk-jan Mollema氏が報告しました。報告書によると、この脆弱性により攻撃者は世界中の各企業のEntra IDテナントに完全なアクセスを取得できました。
また、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は金曜日、Windows Internet Key Exchange（IKE）Service Extensionsコンポーネントに存在する、リモートコード実行が可能な重大な脆弱性を、実際に悪用されている脆弱性の一覧に追加しました。