Microsoft Entra IDにCVSS 10.0の緊急脆弱性　対応不要なのに公表された理由

　Microsoftは2026年8月20日（現地時間）、「Microsoft Entra ID」に存在したリモートコード実行の脆弱性「CVE-2026-69836」に関する情報を公開した。共通脆弱性評価システム（CVSS）v3.1のスコア値は最大値の「10.0」で、深刻度は「緊急（Critical）」に分類されている。

【その他の画像】

　Microsoft側で既に対応が完了しており、サービス利用者が実施すべき作業はない。ユーザー側の対応が不要であるにもかかわらず、なぜ脆弱性情報が公表されたのだろうか。

●CVSS 10.0の脆弱性の概要と対応状況

　本脆弱性は、信頼できないデータの逆シリアル化に関する処理の不備に起因するものだ。認証されていない攻撃者がネットワーク経由でコードを実行できるリスクが存在したとされる。同社は、公開時点で悪用例は確認されておらず、悪用される可能性も低いとしている。

　また、本脆弱性に対してはMicrosoft側で既に緩和措置が適用されており、サービス利用者側でパッチ適用や設定変更といった作業を実施する必要はない。そのため、ユーザー向けの修正プログラムや対応手順は提供されていない。

●対応不要な情報が公開された背景

　ユーザー側の作業が発生しないにもかかわらず脆弱性情報が公開された点について、Microsoftはクラウドサービスにおけるセキュリティ状態の「透明性の確保」を理由として挙げている。

　同社はサービス側の脆弱性公開ポリシーにおいて、利用者が自社環境のセキュリティ状態を検証・把握できるように情報開示をするとしている。今回の公開は、ユーザーに対応を求める通知ではなく、該当する脆弱性の存在とサービス側での対処状況を記録・周知するための公表資料と位置付けられている。

　そのため利用者側においては、追加の防御策を実施するのではなく、当該脆弱性が報告されMicrosoft側で処置が完了しているという事実を把握しておくことが求められる。