Azure Key Vaultなど危険度10.0が6件 CVE-2026-62825、更新作業は不要

マイクロソフトが2026年7月23日、脆弱性（ソフトウェアの欠陥）の情報を51件まとめて公開しました。そのうち6件が危険度10.0、つまり評価の最大値です。Azure Key Vault、Azure DNS、Exchange Online——名前を見て手が止まった方もいると思います。

ところが、この6件に対して利用者がやることは何もありません。当てるべき更新プログラムが存在しないのです。マイクロソフトは公式の説明文にこう書いています。「この脆弱性はマイクロソフトによって既に完全に緩和されています。このサービスの利用者が取るべき対応はありません」。

一方で、同じ日に公表された危険度3.1の1件は、更新の適用が必要です。危険度の数字と、あなたが手を動かすかどうかは、この日に限っては完全に逆転しています。その51件が実際どう分かれているのかを、マイクロソフトの公開データを1件ずつ確認した結果で整理します。

7月23日に公表された51件は、2つに割れている

マイクロソフトは脆弱性の情報を「セキュリティ更新プログラム ガイド」で公開しており、そこには customerActionRequired（利用者の対応が必要か）という項目があります。7月23日公表分の51件をこの項目で分けると、次のようになります。

危険度10.0が並んでいるのは上段の14件です。そしてその14件がすべて「対応不要」で、危険度が最も低い下2段の37件が「対応必要」。数字の大きさと、あなたの作業量は、この日については逆向きに並んでいます。

なぜこんなことが起きるのか。クラウドサービスの欠陥は、マイクロソフトが自社のサーバー側で直します。利用者の手元には直すべきソフトウェアがありません。逆に Azure Linux（マイクロソフトが自社クラウド向けに配布しているLinux。以前は Mariner という名前でした）や Edge は、利用者のサーバー・パソコンの中にあるソフトウェアなので、更新を当てないと直りません。

危険度10.0の6件は、それぞれ何が起きるのか

最大値の10.0が付いた6件です。いずれも悪用は確認されておらず、情報の事前公開もありません（マイクロソフトの評価）。修正はすべて完了済みです。

CVE-2026-62825：Azure Key Vaultで本人確認が不十分だった

Azure Key Vault は、パスワードやAPIキー、暗号鍵といった「絶対に漏らせない文字列」を預けておくためのサービスです。ここで不適切な認証（CWE-287）、つまり相手が誰かを正しく確かめないまま処理を進めてしまう欠陥がありました。マイクロソフトの説明は「認証されていない攻撃者がネットワーク越しに権限を昇格できる」というものです。6件の中で最も名前が知られているサービスで、海外メディアもここを大きく取り上げました。

CVE-2026-56163：Azure Kubernetes Serviceで重要な機能に認証がなかった

Azure Kubernetes Service（AKS）は、コンテナと呼ばれる形式のアプリを大量に動かすためのサービスです。重要な機能に認証が掛かっていない状態（CWE-306）で、権限昇格につながる恐れがありました。

CVE-2026-58275：Azure DNSで認可の確認が抜けていた

Azure DNS はドメイン名とサーバーの住所を対応づける仕組みを提供するサービスです。「この操作をしてよい相手か」の確認（認可）が欠けていました。DNSは通信の入口を決める土台なので、ここを握られると本来と違うサーバーへ誘導される余地が生まれます。

CVE-2026-58630：Azure App Service（Azure Stack Hub版）のアクセス制御

この1件だけは少し性格が違います。マイクロソフトが付けた正式なタイトルは「Azure App Service on Azure Stack Hub Elevation of Privilege Vulnerability」です。Azure Stack Hub は、Azureの仕組みを自社のデータセンターの中に置いて動かす製品で、完全なクラウドではありません。それでもマイクロソフトはこの件を「利用者の対応は不要」に分類しています。NVD（米国の脆弱性データベース）に載っている説明文は「Azure App Service」までしか書いておらず、Stack Hub限定である点が落ちています。データベース側の要約だけを読むと、通常のAzure App Serviceが危ないように見えてしまうので、ここは注意が要ります。

CVE-2026-56191：Exchange Onlineで改ざんにつながる認証の不備

Microsoft 365 のメールサービスである Exchange Online での不適切な認証です。影響の種類は「改ざん（Tampering）」で、権限昇格や情報漏洩とは別枠に分類されています。国内でも Microsoft 365 を全社導入している企業は多く、6件の中では最も「自分ごと」になりやすい名前です。それでも、利用者側で当てる更新はありません。

CVE-2026-57106：Data Qualityの権限昇格

データの品質管理に関わるサービスでの権限昇格です。6件の中では最も知名度が低く、マイクロソフトの記載も「Data Quality」という製品タグのみで、詳しい構成情報は公開されていません。

10.0以外の8件も「対応不要」に分類されている

同じ日のクラウド分は全部で14件です。残る8件も、すべて利用者の対応は不要とされています。

この表で目を引くのは Microsoft Surface（CVE-2026-54120） です。Surfaceはマイクロソフト自身が売っているパソコンなので、手元の端末に更新が要りそうに見えます。しかしマイクロソフトの分類は「対応不要」。この件は端末側ではなくサービス側の欠陥として処理された、という読み方になります。

もうひとつ、Microsoft Graph の1件だけ危険度6.5 でありながら、マイクロソフトの深刻度ラベルは他の13件と同じ「Critical（緊急）」が付いています。クラウド分は深刻度ラベルが一律で付く扱いになっているようで、ラベルの色だけで優先順位を決めると、実態を見誤ります。

この6件を欲しがるのは、どういう相手か

クラウドの土台を狙う相手は、無差別にばらまく詐欺グループではありません。クラウド事業者のサービスそのものを研究し、他社の領域へ越境する経路を探しているタイプの攻撃者です。侵入経路を作れば、そこに乗っている多数の企業へ一度に届く。手間がかかっても割に合う、という計算で動く相手です。

クラウドの共有基盤に空いた穴は、そのまま本人確認や権限確認の抜けを突いて、本来は触れないはずの他社の領域へ手を伸ばすための足場になります。Key Vault が狙われれば、そこに預けられたパスワードや鍵。Azure DNS なら、通信を別のサーバーへ向け直す設定。Exchange Online なら、メールの内容や送受信の記録です。

実際に届かれたとき、割を食うのはサービスを使う個人の側です。自分では何も間違えていないのに情報が外に出ます。企業の側は、自社のサーバーを守っていても、預けた先の共通部分から漏れる形になります。ただし、この6件についてはマイクロソフトが悪用の確認なしと明言しており、修正も完了しています。これから何かが起きるという話ではなく、起きる前に塞がったという報告です。

「対応不要」と書いてあるのに、なぜCVE番号が付くのか

利用者が何もしないなら、そもそも公表しなくてよいのでは——という疑問が出ます。これはマイクロソフトが2024年から始めた方針の結果です。同社はクラウドサービスの脆弱性にもCVE番号を発行する方針を採り、利用者側の作業が発生しない場合でも情報を出すようにしました。今回のFAQにも、その目的がはっきり書かれています。

つまりこの14件は、「危ないので直してください」というお知らせではなく、「こういう欠陥があったので直しました」という事後報告です。利用者にとっては嬉しい話である一方、脆弱性データベースの上では通常のCVEと同じ形で並ぶため、危険度10.0という数字だけが独り歩きしやすい構造になっています。

海外メディアの報じ方と、公式の記載が食い違っている

今回、英語圏では Azure Key Vault の1件（CVE-2026-62825）を単独で取り上げ、「保管庫のアクセス権を見直し、シークレット（保管されている秘密の文字列）のローテーションに備えよ」という趣旨で伝えている記事が複数出ています。危険度10.0で、鍵を預けるサービスという組み合わせを見れば、そう書きたくなるのは分かります。

ただし、マイクロソフト自身はそのような対応を求めていません。公開データの customerActionRequired は false であり、FAQも「取るべき対応はありません」の一文です。悪用の有無は「No」、情報の事前公開も「No」。鍵のローテーションは、それ自体は良い運用習慣ですが、この脆弱性を根拠に緊急でやるべきこととして公式に示されてはいない、というのが現時点の事実関係です。

この記事は、判断の材料をマイクロソフトの公開データそのものに置いています。もし今後、悪用の確認や追加の勧告が出た場合は本記事に追記します。

実際に手を動かすのは、この37件のほう

同じ7月23日には、更新が必要な37件も一緒に公表されています。見出しになりにくい地味な側ですが、作業が発生するのはこちらです。

Azure Linux（Mariner）25件

危険度は3.1から7.5までで、10.0のような派手な数字はありません。Azure Linux は、AKSのノードやAzure上のコンテナ基盤の土台として動いていることが多く、自分で選んだ覚えがなくても使っているケースがあります。パッケージの更新で対処します。最も低い CVE-2026-55708 は危険度3.1ですが、それでも「利用者の対応が必要」に分類されています。

Microsoft Edge 12件（CVE-2026-16413 〜 16424）

Edge は Chrome と同じ Chromium という土台を使っているため、Chromium 側の修正がそのままEdgeの更新として降りてきます。この12件はその取り込み分です。Edgeは既定で自動更新されるので、多くの場合は放っておいても当たりますが、更新を止めている環境では手当てが要ります。

なお翌7月24日には、Edge固有の欠陥3件（CVE-2026-57989・57990・57978）が追加で公表されました。うち2件は危険度7.4で、罠サイトを開いた上で入力欄の自動補完を発動させる2回のタップという具体的な操作を条件に、情報が読み取られるというものです。修正版は Edge 150.0.4078.99（7月24日リリース、Chromium 150.0.7871.187 ベース）です。さらに7月25日には、Chrome側の4件（CVE-2026-16804〜16807）がEdgeにも取り込まれています。ブラウザ側の詳しい経緯はChrome／EdgeのV8ゼロデイ脆弱性まとめに整理しています。

自分は影響を受けるのか、立場別の早見表

Edgeのバージョン確認は、Edgeを開いて右上の「…」から「ヘルプとフィードバック」→「Microsoft Edge について」を選ぶだけです。この画面を開いた時点で更新の確認が走ります。

なお、7月14日の月例更新（Patch Tuesday）で当てるべきものは今回とは別です。SharePoint Server の無認証乗っ取りなど、実際に手を動かす必要がある重大なものが含まれているので、そちらは2026年7月のMicrosoft月例更新のまとめを参照してください。

よくある質問

危険度10.0なのに何もしなくていいというのは本当ですか

マイクロソフトの公開データ上はそうなっています。危険度（CVSS）は「もし悪用されたら、どれくらいひどいか」を測る数字であって、「あなたが何をすべきか」を示す数字ではありません。今回の6件は、悪用される前にマイクロソフト側で塞がれた状態で公表されています。

パスワードやAPIキーを変えたほうがいいですか

今回の件を根拠とした変更は、マイクロソフトから求められていません。悪用の確認も「なし」とされています。定期的な入れ替えは一般論として良い運用ですが、緊急対応として今すぐ実施すべきという公式の指示は出ていません。

米政府の「実際に攻撃されている脆弱性リスト」に載っていますか

2026年7月29日時点で、今回の14件はいずれも米国CISAの実際に悪用が確認された脆弱性のリスト（KEV）には登録されていません。マイクロソフトの評価でも悪用は「なし」です。

日本の公的機関からの注意喚起は出ていますか

2026年7月29日時点で、JVN・JPCERT/CC・IPA のいずれにも、今回の14件に関する個別の注意喚起は確認できていません。利用者側の作業が発生しないため、注意喚起の対象になりにくい性質の案件です。

Azure App Service を使っていますが危ないですか

CVE-2026-58630 の対象は、マイクロソフトの正式タイトルでは「Azure App Service on Azure Stack Hub」です。自社データセンターに置くAzure Stack Hub版が対象で、通常のAzure上のApp Serviceとは別物です。脆弱性データベース側の要約からはこの限定が落ちているため、要約だけを読むと誤解しやすくなっています。

まとめ

2026年7月23日にマイクロソフトが公表した51件のうち、危険度10.0の6件を含むクラウド分14件は、すべて修正済みで利用者の対応は不要です。実際に手を動かすのは、危険度が3.1から7.5にとどまる Azure Linux の25件と、Microsoft Edge の12件（および翌日以降のEdge分）です。

危険度の数字は、あなたの作業リストではありません。マイクロソフトがクラウドの欠陥にもCVE番号を出すようになったことで、こういう「読むだけで終わる10.0」が今後も定期的に流れてきます。数字に驚く前に、その脆弱性に当てる更新が存在するのかどうかを先に確かめる。今回に関しては、それだけで判断が付きます。

参照元

• ・Microsoft Security Response Center — CVE-2026-62825 Azure Key Vault Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-56163 Microsoft Azure Kubernetes Service Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-56191 Microsoft Exchange Online Tampering Vulnerability
• ・MSRC — CVE-2026-58275 Azure DNS Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-58630 Azure App Service on Azure Stack Hub Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-57106 Data Quality Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-57989 Microsoft Edge (Chromium-based) Information Disclosure Vulnerability
• ・Microsoft — 2026年7月のセキュリティ更新プログラム リリースノート
• ・Microsoft — Toward greater transparency: Unveiling Cloud Service CVEs
• ・NVD — CVE-2026-62825
• ・CWE-287: Improper Authentication
• ・GitHub — microsoft/azurelinux（旧 CBL-Mariner）