Microsoft Entra ID の RCE 脆弱性が FIX：パッチは不要だが検証は重要

Microsoft Entra ID Remote Code Execution Vulnerability Exploited in the Wild

2026/08/21 CyberSecurityNews — Microsoft が確認したのは、同社のクラウドベースの ID／アクセス管理プラットフォーム Entra ID に存在する、深刻なリモート・コード実行 (RCE) 脆弱性がすでに実環境で悪用されていることである。この脆弱性 CVE-2026-69836 は、2026年8月20日に公表され、最も深刻な Critical と評価されている。Microsoft 365／Azure／多数のサードパーティ・アプリケーション上で、ユーザー認証を Entra ID に依存する組織にとって、この脆弱性は極めて危険である。

脆弱性 CVE-2026-69836 (CWE-502) の根本原因は、信頼できないデータの逆シリアル化にあり、Entra ID のバックエンドが、特別に細工されたデータを事前に適切に検証せずに処理している。このため、攻撃者が悪意を持って細工されたデータを脆弱なエンドポイントへ送信すると、認証やユーザー操作を必要とせずにサービスを悪用し、ネットワーク上で任意コードを実行できる可能性がある。リモートからの悪用が可能で、さらにログインも不要という組み合わせが、この脆弱性を Critical (緊急) に押し上げた要因であり、脅威アクターが迅速に武器化した理由でもある。

世界中の数百万の企業テナントにおける、シングル・サインオン／アクセス制御の基盤となっている Entra ID への侵害が成功すると、その影響は Entra ID 内に留まらない。ID レイヤーでコード実行に成功した攻撃者は、接続されたクラウド・ワークロードへの侵入／認証トークンの乗っ取り／組織全体の Microsoft エコシステムにおけるアクセス・ポリシーの変更を行う可能性がある。

実環境での悪用が確認された Entra ID の脆弱性

Microsoft Security Response Center が例示するのは、アドバイザリの提供以前に、この脆弱性の情報が一般公開されていなかった一方で、実環境で悪用されていたことである。

この脆弱性は、独立系の研究者が発見して、パッチ公開前に情報が流出したものではない。実環境における Entra ID インフラを標的とする攻撃活動が、Microsoft のテレメトリやインシデント対応チームにより検知された可能性がある。この違いは防御側にとって重要である。

Microsoft は正式な Exploitability Index スコアを公開しておらず、”N/A” と評価しているが、実環境での悪用が確認されている以上、すべてのセキュリティ・チームが警戒すべき状況にある。

CVE-2026-69836 は、従来のように顧客側で緊急のパッチ適用が必要となる脆弱性とは異なり、Microsoft のクラウド・サービス CVE カテゴリに分類される。Entra ID は完全に管理されたクラウド・プラットフォームであるため、すでに Microsoft は自社インフラへの修正を展開しており、顧客が適用すべき更新パッケージ／KB 文書／構成変更は存在しない。

Microsoft によると、この情報開示の目的は透明性の確保にある。大半の組織に対するサービス側の修正が適用されていても、この欠陥の存在が認識される前に、セキュリティ・チームが自組織に関係する脅威を把握できるようにするためである。

このアプローチは、クラウド・サービスの脆弱性を対象とする Microsoft の「Toward Greater Transparency」イニシアチブの一環であり、顧客側でのパッチ適用を伴わない。従来であれば顧客に報告されなかった可能性がある、クラウドサービス側のセキュリティ・インシデントについて、顧客へ情報を提供することを目的としている。

Microsoft は、調整された情報開示を通じて、この問題を報告したセキュリティ研究者 Robert Fitzpatrick に謝意を表している。顧客が直接実施する修復手順は存在しないが、このインシデントに関連して推奨されるのは、Entra ID のサインイン・ログ／Conditional Access ポリシー／特権ロール割り当てを確認し、修正が展開される前の期間に遡って異常な活動の兆候がないか調査することである。

認証サービスに存在するデシリアライズの脆弱性は、高度な脅威アクターにとって依然として攻撃価値が高く、侵害時の影響も大きい標的であるため、組織に求められるのは、このインシデントを ID インフラ全般の監視強化につなげることである。

Entra ID に存在する、深刻なリモート・コード実行 (RCE) 脆弱性が、すでに実環境で悪用されています。この問題は、バックエンドにおける信頼できないデータのデシリアライズ処理に起因します。悪用された場合の影響として、未認証のリモート攻撃者による任意コードの実行／接続されたクラウドワークロードへの侵入／認証トークンの奪取／アクセスポリシーの改ざんが挙げられます。クラウド側で修正が適用されているため顧客によるパッチ適用は不要ですが、対応策として修正展開前の期間に遡ったサインインログの確認／条件付きアクセスポリシーの点検／特権ロール割り当ての監査／異常アクティビティの調査が求められます。