Microsoftは、Entra IDアイデンティティ・アクセス管理(IAM)プラットフォームに存在する最高深刻度の脆弱性を修正しました。この脆弱性は実際の攻撃で悪用されていました。
Entra IDはAzure Active Directory(Azure AD)として知られていたもので、Microsoft 365、Azure、Dynamics CRM Onlineの顧客に対し、アプリやリソース全体にわたる認証、ポリシー適用、保護機能を提供するクラウドベースのIAMプラットフォームです。
CVE-2026-69836として追跡されているこの深刻な脆弱性は、MicrosoftのプリンシパルセキュリティエンジニアであるRobert Fitzpatrick氏によって発見されたもので、権限を持たない攻撃者が低い複雑度の攻撃でコード実行を可能にするというものでした。
MicrosoftによるとCVE-2026-69836の悪用コードはまだオンライン上に出回っておらず、この脆弱性はすでに完全に修正済みであるため、ユーザー側で対応する必要はないとしています。
「Microsoft Entra IDにおける信頼できないデータのデシリアライゼーションにより、権限を持たない攻撃者がネットワーク経由でコードを実行できる可能性があります」と、Microsoftは木曜日に公開したセキュリティアドバイザリで述べています。
「この脆弱性はMicrosoftによってすでに完全に緩和されています。本サービスの利用者側で対応する必要はありません。このCVEの目的は、透明性をさらに高めることにあります」
同社はそれ以上の詳細情報を明らかにしておらず、BleepingComputerがCVE-2026-69836の脆弱性を悪用した攻撃についてさらなる詳細を求めたところ、Microsoftの広報担当者からは直ちにコメントを得ることができませんでした。
昨日、Microsoftはさらに4件の最高深刻度の脆弱性に対処しました。そのうち3件は、未認証の攻撃者がAzure Arc(CVE-2026-65816およびCVE-2026-69555)とExchange Online(CVE-2026-65801)上でリモートから権限昇格を可能にするものでした。4件目のCVE-2026-65770として追跡されている脆弱性は、Azure Managed Instance for Apache Cassandraにおけるリモートコード実行を可能にするものでした。
2025年9月には、Outsider Securityのセキュリティ研究者Dirk-jan Mollema氏が報告した、別の深刻なEntra ID権限昇格の脆弱性(CVE-2025-55241)も修正されています。この脆弱性は、世界中のあらゆる企業のMicrosoft Entra IDテナントに対し、攻撃者が完全なアクセス権を取得することを可能にするものでした。
金曜日には、CISAもWindowsのInternet Key Exchange(IKE)Service Extensionsコンポーネントに存在する深刻なリモートコード実行(RCE)の脆弱性について、実際に悪用が確認されているとしてリストに追加しました。
