Microsoft、リモートコード実行を可能にする「Perfect 10」脆弱性を修正

概要

• Microsoftは、Entra IDクラウドアイデンティティサービスに影響を与える、重大なリモートコード実行の脆弱性を公開しました。
• CVE-2026-69836はCVSSスコア10.0を記録し、悪用には既存の権限やユーザーの操作を必要としません。
• Microsoftはこの脆弱性を修正したと述べ、実際に悪用された事例はないことを確認しました。

Microsoftは、Entra IDアイデンティティプラットフォームにおける重大な脆弱性を公開しました。これにより、権限のない攻撃者が既存の権限やユーザーの操作なしに、リモートでコードを実行できる可能性があります。

CVE-2026-69836として追跡されているこの脆弱性は、可能な限り最高の評価であるCVSSスコア10.0を受けました。この欠陥は、かつてAzure Active Directoryとして知られていた同社のクラウドベースのアイデンティティおよびアクセス管理サービスであるMicrosoft Entra IDに影響を与えます。

Microsoftのセキュリティアドバイザリによると、この脆弱性は攻撃の複雑さが低く、ネットワーク経由で悪用可能であり、権限やユーザーの操作は必要ありません。

デシリアライゼーションは、データをアプリケーションが使用できる形式に変換します。アプリケーションがそのデータを適切に検証しない場合、攻撃者がそれを操作して悪意のあるコードを実行する可能性があります。

Microsoftは、CVEを公開する前に脆弱性を特定し、修正したと述べました。

「当社はこの問題を特定して修正プログラムで対処し、透明性を高めるためにCVE-2026-69836をリリースしました」と、Microsoftの広報担当者は声明でDecryptに語りました。「お客様が講じるべき追加の措置はありません。」

Microsoftによると、研究者は後に脆弱性の悪用状況を「Yes」から「No」に訂正し、実際に悪用されていないことを確認し、この修正を「情報提供のみの変更」と呼びました。同社は、この欠陥は公に開示されておらず、悪用の可能性は「低い」としています。

人工知能はセキュリティの脆弱性を見つける上でますます重要な役割を果たしており、研究者やテック企業はAIシステムを使用して、そうでなければ検出されない可能性のある欠陥を特定しています。

5月には、AnthropicのClaude Opus 4.8を使用したセキュリティ研究者が、ZcashのOrchardプライバシープールに4年前から存在する脆弱性を発見しました。これにより、攻撃者が偽造されたZECを作成できた可能性があります。

Microsoftも脆弱性発見のためのAIツールを開発しています。7月、同社は100以上のAIエージェントを使用してソフトウェアの脆弱性を発見および検証するシステムであるMDASHに、MAI-Cyber-1-Flashサイバーセキュリティモデルを追加しました。

同月、Anthropicは、設定ミスによりモデルがインターネットにアクセスできるようになった後、内部のサイバーセキュリティテスト中にClaudeモデルが3つの企業を侵害したことを明らかにしました。

Daily Debrief ニュースレター

最新のトップニュースに加え、オリジナル特集、ポッドキャスト、動画などで毎日を始めましょう。