Microsoft patches max severity code execution, privilege escalation flaws
2026/08/21 BleepingComputer — Microsoft が公表したのは、Entra ID／Azure Arc／Exchange Online に存在する複数の重大度が最高レベルの脆弱性に対する修正情報である。これらの脆弱性を悪用する攻撃者は、リモート・コード実行 (RCE) や権限昇格を可能にすると、同社は指摘している。Entra ID (Azure Active Directory／Azure AD) は、アプリケーションやリソース全体にわたる認証／ポリシーの適用／保護などを、Microsoft 365／Azure／Dynamics CRM Online の顧客に提供する、クラウドベースの IAM プラットフォームである。
1 つ目の脆弱性は、Microsoft Principal Security Engineer の Robert Fitzpatrick が発見した CVE-2026-69836 である。この脆弱性は、Entra ID のクラウドベース IAM プラットフォームに存在する深刻な欠陥であり、権限のない攻撃者に対して、複雑性の低い攻撃手法によるコード実行を許すものである。
Microsoft は 8月19日 (水) に公開したセキュリティ・アドバイザリで、「Microsoft Entra ID における信頼できないデータのデシリアライズにより、権限のない攻撃者はネットワーク経由でコードを実行できる」と、この脆弱性について述べている。
その前日の8月18日に、Microsoft は重大度が最高レベルの 4 件の脆弱性にも対処した。このうち 3 件は、Azure Arc の CVE-2026-65816／CVE-2026-69555 と Exchange Online の CVE-2026-65801 であり、未認証のリモート攻撃者による権限昇格を可能にする。残る 1 件の CVE-2026-65770 は、Azure Managed Instance for Apache Cassandra 上での RCE を可能にする。
Microsoft によると、これらの脆弱性を悪用するコードは現時点でインターネット上に公開されておらず、すでに修正プログラムが適用されているため、ユーザー側で追加の対応を行う必要はないという。同社がセキュリティ・アドバイザリを公開したのは、「さらなる透明性を確保するため」である。
2025年9月にも Microsoft は、Outsider Security のセキュリティ研究者 Dirk-jan Mollema が報告した Entra ID の別の深刻な権限昇格の脆弱性 CVE-2025-55241 にパッチを適用している。この脆弱性を悪用した攻撃者は、世界中のあらゆる企業における Microsoft Entra ID テナントの完全なアクセス権を取得していた。
8月21日 (金) に CISA は、Windows Internet Key Exchange (IKE) Service Extensions コンポーネントに存在し、実際の攻撃で悪用されている脆弱性として、CVE-2026-33824 を KEV カタログに登録した。
Microsoft Entra ID／Azure Arc／Exchange Online などの、深刻な問題を取り上げる記事です。認証不備などの欠陥を突く攻撃者は、権限奪取の脆弱性 CVE-2026-69836／CVE-2026-65816／CVE-2026-69555／CVE-2026-65801／CVE-2025-55241 や、リモート・コード実行の脆弱性 CVE-2026-65770／CVE-2026-33824 を悪用する可能性があります。被害防止のため、更新の適用確認／CISA KEV カタログの参照／迅速な修正適用が求められます。
IoT OT Security News 
You must be logged in to post a comment.