Entra IDの遠隔コード実行の脆弱性CVE-2026-69836
- カテゴリ
- 脆弱性の公表
Microsoft Entra IDの脆弱性CVE-2026-69836は、信頼できないデータの逆シリアル化により、権限の無い攻撃者がネットワーク経由でコードを実行できるもので、Microsoftが既に完全に緩和した［1］。Microsoftは2026年8月20日にセキュリティ更新ガイドでこの脆弱性を公表し、Entra IDの利用者が取る対応は無いとした［1］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| 題 | Microsoft Entra ID Remote Code Execution Vulnerability（リリース番号2026-Aug） | ［1］ |
| CVSS 3.1（Microsoftが算出） | 基本値10.0、現状値8.7 | ［1］ |
| CVSSのベクトル（Microsoftが算出） | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C | ［1］ |
| 深刻度と影響 | Critical、Remote Code Execution | ［1］ |
| CWE | CWE-502（信頼できないデータの逆シリアル化） | ［1］ |
| NVDの表示 | Microsoftの基本値をCRITICALとして掲載。攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な特権と利用者の関与は不要、スコープは変更あり。状態はAnalyzed | ［3］ |
CVEの記録では、影響を受ける製品はMicrosoft Entraで、CPEはmicrosoft_entra_idである［2］。記録には、提供者だけがホストするサービスを示すexclusively-hosted-serviceのタグが付いている［2］。
Microsoft Learnの説明では、Microsoft EntraはIDとネットワークアクセスの製品群の名前で、Microsoft Entra IDはその製品の1つである［6］。Microsoft Entra IDはAzure ADの新しい名前で、Azure Active Directory、Azure AD、AADの名前を置き換える［6］。
Microsoftは8月の月次のCVRF文書で、この脆弱性の謝辞にMicrosoft所属の研究者1名とAnonymousを載せた［7］。
時系列
悪用の状況
The Hacker Newsの記事によると、公表時のセキュリティ情報は悪用可能性の評価の表で「Exploited」を「Yes」としており〔注1〕、同誌がコメントを求めた後にMicrosoftが訂正した［4］。Microsoftの広報担当者は同誌に、問題を特定して修正で対処し、透明性を高めるためにこのCVEを公開したと述べた［4］。
Microsoftは改訂1.1で、この脆弱性は実環境で悪用されておらず、変更は情報のみのものだと記した［1］。最新の改訂は、一般への公開（Publicly Disclosed）をNo、悪用（Exploited）をNo、悪用可能性の評価をExploitation Less Likelyとしている［1、7］。
Help Net Securityは8月24日の追記で、Microsoftが同誌に、実環境で悪用されていないと確認したと報じた［9］。
CVEの記録では、CISAが加えたSSVCの評価はExploitationがnone、Automatableがyes、Technical Impactがtotalである［2］。
修正と回避策
SecurityWeekは、Microsoftがこの問題を社内で発見し、サーバー側で修正したと報じた［8］。
セキュリティ更新ガイドのFAQでは、このCVEの目的は透明性を高めることにあり、参照先にMicrosoft Security Response Center（MSRC）のブログ『Toward greater transparency: Unveiling Cloud Service CVEs』が挙がっている［1］。MSRCは2024年6月27日のこのブログで、顧客が更新を導入する必要や他の対応が無くても、重大なクラウドサービスの脆弱性にCVEを発行すると表明した［5］。
未公表の事項
- 逆シリアル化が起きる機能・エンドポイント・入力の経路
- 影響を受けたテナント・利用者の数
- 緩和を完了した日と、脆弱だった期間
- 修正前の期間に不正なアクセスが無かったことを確かめた方法
- 公表時に「Exploited」を「Yes」とした理由（Cybersecurity Diveは、Microsoftが状態の変更の理由をすぐには説明しなかったと報じた［10］）
注
出典
当事者
- ［1］Microsoft Corporation『Microsoft Entra ID Remote Code Execution Vulnerability（CVE-2026-69836）』（2026年8月20日公開、2026年8月21日更新）
- ［7］Microsoft Corporation『August 2026 Security Updates（CVRF 2026-Aug）』（2026年8月11日公開、2026年11月2日更新）
公的機関
- ［2］CVE Program『CVE-2026-69836 Microsoft Entra ID Remote Code Execution Vulnerability』（2026年8月20日公開、2026年10月30日更新）
- ［3］National Institute of Standards and Technology『CVE-2026-69836』（2026年8月20日公開、2026年10月18日更新）
報道機関
- ［4］The Hacker News『Microsoft Patches Severe Entra ID Flaw (CVSS 10.0) Allowing Remote Code Execution』（2026年8月21日公開、2026年8月21日更新）
- ［8］SecurityWeek『Microsoft Patches Exploited Entra ID Vulnerability』（2026年8月21日公開、2026年8月24日更新）
- ［9］Help Net Security『Microsoft patches critical Entra ID vulnerability (CVE-2026-69836)』（2026年8月21日公開、2026年8月24日更新）
- ［10］Industry Dive『Microsoft discloses maximum severity flaw in Entra ID』（2026年8月21日公開）
- ［11］アイティメディア株式会社『Microsoft Entra IDにCVSS 10.0の緊急脆弱性 対応不要なのに公表された理由』（2026年8月25日公開）
- ［12］アイティメディア株式会社『Entra IDにCVSS 10.0の脆弱性 認証不要でコード実行の恐れ、必要な対策は？』（2026年8月25日公開）
背景資料
- ［5］Microsoft Corporation『Toward greater transparency: Unveiling Cloud Service CVEs』（2024年6月27日公開）
- ［6］Microsoft Corporation『New name for Azure Active Directory』（2025年5月7日公開、2026年6月15日更新）
更新記録
- 2026年8月30日：公開した。
- 2026年10月18日：NVDの記録の10月18日の更新（出典3）を加え、「脆弱性の内容」の表のNVDの行を改めた。
- 2026年10月30日：CVE Programの記録の10月30日の更新（出典2）を加え、「脆弱性の内容」の製品の記述と「悪用の状況」のSSVCの評価の段落を改めた。
- 2026年11月2日：Microsoftの8月の月次のCVRF文書の11月2日の更新（出典7）を加え、「脆弱性の内容」の謝辞の段落と「悪用の状況」の最新の改訂の段落を改めた。