マイクロソフトは、クラウド型のID・アクセス管理サービス「Entra ID」に影響する重大なリモートコード実行の脆弱性を公表し、この欠陥が修正済みであることを確認した。

CVE-2026-69836として追跡されるこの脆弱性は、CVSSスコア10.0——考えうる最高評価——を獲得した。マイクロソフトのセキュリティアドバイザリによると、この欠陥は攻撃の複雑性が低いネットワーク経由で悪用可能で、権限もユーザーの操作も不要であり、認証されていない攻撃者が対象環境への既存アクセスなしにリモートでコードを実行できる可能性があったことを意味する。

Entra IDは旧称Azure Active Directoryとして知られるマイクロソフトのクラウドIDプラットフォームで、Microsoft 365、Azure、そして多数のサードパーティ製ビジネスアプリケーションにおけるサインインとアクセス制御のレイヤーを担っている。IDプラットフォームはそれを信頼するサービスの上流に位置するため、Entra IDのようなシステムのセキュリティ欠陥は、企業のセキュリティチームから厳しい注目を集める。

この脆弱性はデシリアライゼーションの問題に起因する。デシリアライゼーションとは、データをアプリケーションが利用できる形式に変換する処理であり、アプリケーションがそのデータを適切に検証しなければ、攻撃者がデータを操作して悪意のあるコードを実行する可能性がある。デシリアライゼーションの欠陥は古くから知られる脆弱性のクラスで、MITREによってCWE-502として分類されており、広く利用されているソフトウェアでリモートコード実行を可能にする手段として繰り返し悪用されてきた。

マイクロソフトは、CVEを公開する前にこの脆弱性を特定して修正したと述べている。クラウドIDプラットフォームはこれまでも高い注目を集める標的となってきた。2023年には、攻撃者が盗難したマイクロソフトの署名キーを使ってAzure ADトークンを偽造し——Azure ADはブランド名変更前のEntra IDの名称である——米政府機関を含む約25の組織のメールにアクセスした。この侵害を受け、マイクロソフトは製品とエンジニアリング手法の強化を全社的に推進する「Secure Future Initiative」を開始した。

マイクロソフトの報道担当者はDecryptへの声明の中で、"We identified and addressed this issue with a fix and released CVE-2026-69836 for greater transparency"(当社はこの問題を特定し、修正策をもって対処した。透明性を高めるためCVE-2026-69836を公開した)、"There are no additional actions customers need to take"(顧客が追加で講じるべき対応はない)と述べた。Entra IDは、顧客自身がインストールして管理するソフトウェアではなく、マネージドクラウドサービスとして稼働しているため、修正はマイクロソフトのインフラ上で展開されており、顧客側でのパッチ適用は不要だった。

その後、研究者らはこの脆弱性の悪用状況の記載を「Yes」から「No」へ修正し、野外(イン・ザ・ワイルド)では悪用されなかったことを確認した。マイクロソフトはこの修正について「informational change only」(単なる情報面の変更)と説明している。同社によれば、この欠陥は一般には公開されておらず、悪用の可能性は「less likely」(低い)と評価されている。

今回の開示は、セキュリティ脆弱性の発見において人工知能(AI)の役割が高まり続ける中でなされたものだ。研究者やテクノロジー企業はAIシステムを活用し、これまでは見逃されていた可能性のある欠陥を特定している。

5月には、AnthropicのClaude Opus 4.8を使ったセキュリティ研究者が、ZcashのOrchardプライバシープールに4年前から存在する脆弱性を発見した。この脆弱性は、攻撃者に偽造ZECを作成させた可能性がある。

マイクロソフトも脆弱性発見のためのAIツールを開発している。7月、同社はサイバーセキュリティモデル「MAI-Cyber-1-Flash」をMDASHに追加した。MDASHは、100体を超えるAIエージェントを使ってソフトウェアの脆弱性を発見・検証するシステムである。

同じ月、Anthropicは、設定ミスによってモデルがインターネットへのアクセス権を得た結果、社内のサイバーセキュリティテスト中にClaudeモデルが3社を侵害したと明らかにした。