Teams危険度10.0の脆弱性 CVE-2026-65667ほか20件、対応不要。月例更新は別

マイクロソフトが2026年8月6日、クラウドサービスの脆弱性（ソフトウェアの欠陥）を20件まとめて公表しました。うち3件が危険度10.0、評価の最大値です。そしてその1件が Microsoft Teams でした。

Teamsは、日本の会社で毎日使われている連絡ツールです。名前を見て手が止まった方もいると思います。ですが20件とも利用者がやることはありません。当てるべき更新プログラムが存在しないからです。マイクロソフト自身が公式にこう書いています。

この記事は、マイクロソフトのクラウドサービスで「危険度は高いが、利用者の作業は不要」と分類された脆弱性を追い続けている記事です。8月6日公表の20件を最新分として最初に扱い、そのあとに7月30日の1件、7月23日の14件を残しています。いずれも結論は同じで、内容だけが違います。

数字だけで判断せず、マイクロソフトの公開データを20件すべて1件ずつ照会して確かめました。以下はその結果です。

【2026年8月13日 更新】8月分は20件、危険度10.0が3件 ― Teamsが最高値に

公表は2026年8月6日（日本時間8月7日未明）。マイクロソフトの区分では「2026年8月」の枠に入ります。20件すべてがクラウド側のサービスで、20件すべてが「利用者の対応は不要」に分類されています。

確認したのは、マイクロソフトが公開しているデータの customerActionRequired という項目です。日本語にすると「利用者の対応が必要か」。20件とも false（不要）でした。あわせて「実際に攻撃に使われた形跡があるか」も20件とも「なし」、「公表前に情報が漏れていたか」も20件とも「なし」です。

「ログイン」の列は、攻撃する側にアカウントが要るかどうかです。「不要」なら、誰でも試せる形の欠陥だったことを意味します。ただし繰り返しになりますが、これは修正される前の話で、いま同じことができるわけではありません。

CVE-2026-65667：Teamsで、権限の確認が抜けていた

20件で最も多くの人に関係するのがこれです。危険度10.0、種類は「権限の昇格」。マイクロソフトの説明は「Microsoft Teamsにおける認可の欠落により、認証されていない攻撃者がネットワーク経由で権限を昇格できる」です。

「認可の欠落」とは、その操作をしていい相手かどうかの確認が、そもそも行われていなかったという意味です。鍵はかかっているが、鍵を見せなくても通れた、というイメージが近いです。記号で書くと CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N。ネット越しに、難しい条件なしで、ログインも利用者の操作もなしに成立し、影響がそのサービスの外側にまで及ぶ（S:C）という評価です。10.0が付く典型的な形です。

それでも利用者の対応は不要です。Teamsはマイクロソフトが動かしているサービスで、直す場所も同社の側にあります。パソコンやスマホのTeamsアプリを更新しても、この件とは関係がありません。すでに直っています。

Teamsは、この8月分だけで3件あります

見落としやすいので書いておきます。20件のうち3件がTeamsです。

1つは上記のCVE-2026-65667（10.0）。2つ目がCVE-2026-62896（9.6）で、こちらは本人確認そのものの不備です。ログインできる相手が、本来より高い権限を取れました。3つ目がCVE-2026-62918（7.5）で、種類が違います。「なりすまし」です。電子署名（送り主が本物だと数学的に確かめる仕組み）の検証が不十分で、別人になりすませる余地がありました。

3件とも対応は不要ですが、1つのサービスに3件がまとまって出たという事実は、それ自体が情報です。Teamsは社内の連絡と会議と、ファイルのやり取りが集まる場所です。そこが調べられているということでもあります。

残る2件の10.0は、データベースと衛星データの基盤

CVE-2026-56162はAzure SQL Database。企業がクラウド上で使うデータベースサービスです。本人確認の不備で、ログインなしに権限を奪えました。この3件のなかで、日本企業の業務データに最も近いのはこれです。影響の範囲を示す記号は C:H/I:H/A:H で、3つとも「高」——見られる・書き換えられる・止められる、が全部揃っています。

もう1件のCVE-2026-63508はMicrosoft Planetary Computer Pro。衛星画像や気象などの地球観測データを扱う、研究向けの基盤です。重要な機能に認証が付いていませんでした。名前のとおり用途が限られるサービスで、一般の会社で使っている例はほとんどありません。

SharePointとCopilot Coworkは、利用者の操作が要る形でした

この2件は毛色が違います。CVE-2026-70332（SharePoint、9.6）とCVE-2026-59118（Copilot Cowork、9.3）は、記号に UI:R が付いています。成立には、利用者が何かをクリックするなどの操作が必要だったという意味です。

SharePointのほうは、サーバーに別の場所へ通信させるという手口でした。社内からしか見えないはずの場所へ、SharePointを踏み台にして届いてしまう形です。当サイトではSharePointの脆弱性をまとめた記事も別に用意しています。ただし今回のものは、自社サーバーに置いたSharePointではなくクラウド版が対象で、性質が違います。

20件とも「実証コードなし」と評価されています

今回、20件すべての評価記号の末尾が同じでした。E:U/RL:O/RC:C です。意味は3つです。

• E:U ── 攻撃に使える実証コードは確認されていない
• RL:O ── 公式の修正がすでにある
• RC:C ── 脆弱性の存在自体は確認済み（誤報ではない）

つまり「本物の欠陥だが、攻撃の道具はまだ出回っておらず、修正は済んでいる」という評価です。米政府CISAが公開する「実際に攻撃されている脆弱性リスト」も照合しました。2026年8月6日版の全1,661件に、今回の20件は1件も入っていません（当サイトのKEVダッシュボードでも確認できます）。

では、8月分で手を動かす必要はないのか

この20件については、ありません。ただし誤解のないように書いておくと、これは「8月のマイクロソフト更新は何もしなくていい」という意味ではありません。

今回の20件はクラウド側のサービスだけを対象にしたものです。WindowsやOffice、Exchange Serverのように自分のパソコンや自社のサーバーに入っているソフトの更新は、これとは別に配られます。8月の月例更新（毎月第2火曜、8月は11日）は、この記事の20件とは切り分けて、通常どおり適用してください。当サイトでは月例更新で情シスが優先すべき脆弱性のまとめも扱っています。

7月分でも同じことが起きていました。危険度10.0の6件は対応不要で、危険度3.1の1件のほうが更新の適用を必要としていたのです。この逆転の詳細は、以下の7月分のパートに残してあります。

8月11日の月例更新は別物です。Teamsにも「要対応」が3件出ました

ここまでの20件は、すべて8月6日に公表されたクラウド側の話です。その5日後、8月11日に毎月恒例の月例更新（第2火曜に配られる、パソコンやサーバーに当てる更新プログラム）が来ました。こちらは、あなたが手を動かす必要があるほうです。

そして、この記事の読者にとって重要な点があります。Teamsについても、8月11日に「利用者の対応が必要」な脆弱性が3件公表されました。8月6日のTeams 3件とは別物です。

違いは、欠陥がどこにあるかです。8月6日の3件はマイクロソフトのサーバー側にあり、同社が直せば終わりでした。8月11日の3件はスマートフォンに入っているTeamsアプリそのものにあります。直った版が配られても、あなたが更新しなければ古いままです。AndroidならGoogle Play、iPhoneならApp Storeで、Teamsアプリを最新にしてください。3件とも悪用の確認と情報の事前流出は「なし」と評価されています。

実際に攻撃されている脆弱性が1件あります

8月11日の月例更新で公開されたのは、マイクロソフト製品だけで400件。うち最も重い「緊急」区分が42件です。Windowsが237件、Officeが95件、社内サーバーに置くSharePointが27件、Exchange Serverが7件という内訳でした。

この中に、すでに実際の攻撃に使われていることが確認された脆弱性が1件あります。CVE-2026-68820、Windowsの通信処理を担う部品（afd.sys）の欠陥で、危険度は7.0。数字だけなら今回のTeamsの10.0より低いのに、危険なのは明確にこちらです。米政府CISAは公表と同じ8月11日にこれを「実際に攻撃されている脆弱性リスト」へ登録し、政府機関に8月25日までの対処を義務づけました。ほかに、公表前に情報が出ていた脆弱性が2件（CVE-2026-62832、CVE-2026-72971）あります。

国内でも、JPCERT/CCとIPA（情報処理推進機構）が8月12日に注意喚起を出し、更新プログラムの適用を求めています。この記事で「対応不要」と書いているのは8月6日のクラウド20件のことであって、8月11日の月例更新は通常どおり適用してください。

報道されている件数が媒体ごとに違う理由

8月11日の月例更新について、国内外の記事を並べると件数がばらばらです。399件、400件、401件、421件。数え間違いではありません。どこまでを「今月の分」に含めるかが媒体ごとに違うだけです。

主に効いてくるのが、この記事で扱っているようなクラウド側のCVEを数に入れるかどうかと、Microsoft Edge（土台がChromiumのため別枠で配られる）を含めるかどうかです。件数の大小に意味はありません。その中に「自分が当てる更新」が何件あるかだけが、実務上の数字です。今月でいえば、当てる必要があるのは8月11日の分であり、8月6日の20件は0件です。

7月30日にもう1件、危険度10.0 ― Azure Cosmos DB（CVE-2026-66803）

本記事の公開直後、2026年7月30日に、CVE-2026-66803（Azure Cosmos DB のリモートコード実行、危険度10.0）が単独で公表されました。Azureのデータベースサービスに最大値が付いた形ですが、結論は本文で扱った6件とまったく同じです。利用者がやることはありません。

マイクロソフトの公開データを1件だけ引いて確かめました。customerActionRequired は false、悪用の確認は「なし」、公表前の情報漏れも「なし」。改訂履歴も初版の1行だけです。区分も7月23日分と同じ「2026年7月」の枠に入っています。危険度10.0と、あなたが手を動かすかどうかは、やはり別の話でした。

「対応不要」の中身が、実は一番おそろしい研究だった

この1件だけは、もう少し踏み込んで書いておきます。CVE-2026-66803は、対応不要と分類されたCVEの中で、内容として飛び抜けています。

見つけたのは、クラウドの安全性を調べている米国の企業Wizの研究チームです。同社は調査結果を「CosmosEscape」という名前で公開しました。副題は「Azure Cosmos DB のすべてのデータベースを乗っ取る」です。

流れはこうでした。Cosmos DBには、データのつながりを検索するための問い合わせ機能があります。研究チームはまずその問い合わせを処理する隔離区画から抜け出し、次に利用者全員の通信が集まる共通の入口で自分のプログラムを動かすところまで到達しました。そこでサービス全体の署名に使われる鍵を手に入れ、最終的にどの契約者のデータベースについても管理用の鍵を発行できる状態になっています。つまり、他社の契約分も含めて読み書きし放題という位置に立ったということです。

報告は2025年11月20日。マイクロソフトは2日後の11月22日に応急の修正を入れ、全世界の拠点で恒久的な修正が完了したのが2026年7月、公表が7月30日という順番でした。同社は「研究チームの検証以外に不正な動きの形跡はなく、利用者のデータへのアクセスも発生していない」と説明しています。

投稿しているのはWizの研究者で、このCVEの発見者の1人です。「対応不要」は「どうでもいい話」という意味ではないということが、ここによく表れています。利用者が手を動かす場面がないだけで、中身は業界の話題になる水準の研究です。ちなみに、この件を扱った日本語の解説記事は、本稿執筆時点で見つけられませんでした。

これで、2026年7月に公表された「危険度10.0で利用者の作業が不要」なクラウドの脆弱性は7件になりました。本文の表と早見表は7月23日公表の14件を対象にしているため数字は変えていませんが、7月全体で見れば1件多い、と読み替えてください。

なお、本記事が公開時に確認した14件の分類は、8月5日時点でも1件も変わっていません。マイクロソフトは公開後に内容を改訂することがあり、分類が変われば結論もひっくり返るため全件を再照会しましたが、customerActionRequired はすべて false のまま、悪用の確認もすべて「なし」のままでした。唯一の改訂は Azure ポータルの CVE-2026-62835 で、内容は「説明文とタイトルの修正のみ」と明記された表記上の変更です。

その後、2026年8月6日にクラウド分の8月公表が出ました。20件、うち危険度10.0が3件です。詳細はこの記事の冒頭にまとめています。

マイクロソフトが2026年7月23日、脆弱性（ソフトウェアの欠陥）の情報を51件まとめて公開しました。そのうち6件が危険度10.0、つまり評価の最大値です。Azure Key Vault、Azure DNS、Exchange Online——名前を見て手が止まった方もいると思います。

ところが、この6件に対して利用者がやることは何もありません。当てるべき更新プログラムが存在しないのです。マイクロソフトは公式の説明文にこう書いています。「この脆弱性はマイクロソフトによって既に完全に緩和されています。このサービスの利用者が取るべき対応はありません」。

一方で、同じ日に公表された危険度3.1の1件は、更新の適用が必要です。危険度の数字と、あなたが手を動かすかどうかは、この日に限っては完全に逆転しています。その51件が実際どう分かれているのかを、マイクロソフトの公開データを1件ずつ確認した結果で整理します。

7月23日に公表された51件は、2つに割れている

マイクロソフトは脆弱性の情報を「セキュリティ更新プログラム ガイド」で公開しており、そこには customerActionRequired（利用者の対応が必要か）という項目があります。7月23日公表分の51件をこの項目で分けると、次のようになります。

危険度10.0が並んでいるのは上段の14件です。そしてその14件がすべて「対応不要」で、危険度が最も低い下2段の37件が「対応必要」。数字の大きさと、あなたの作業量は、この日については逆向きに並んでいます。

なぜこんなことが起きるのか。クラウドサービスの欠陥は、マイクロソフトが自社のサーバー側で直します。利用者の手元には直すべきソフトウェアがありません。逆に Azure Linux（マイクロソフトが自社クラウド向けに配布しているLinux。以前は Mariner という名前でした）や Edge は、利用者のサーバー・パソコンの中にあるソフトウェアなので、更新を当てないと直りません。

この6件を欲しがるのは、どういう相手か

クラウドの土台を狙う相手は、無差別にばらまく詐欺グループではありません。クラウド事業者のサービスそのものを研究し、他社の領域へ越境する経路を探しているタイプの攻撃者です。侵入経路を作れば、そこに乗っている多数の企業へ一度に届く。手間がかかっても割に合う、という計算で動く相手です。

クラウドの共有基盤に空いた穴は、そのまま本人確認や権限確認の抜けを突いて、本来は触れないはずの他社の領域へ手を伸ばすための足場になります。Key Vault が狙われれば、そこに預けられたパスワードや鍵。Azure DNS なら、通信を別のサーバーへ向け直す設定。Exchange Online なら、メールの内容や送受信の記録です。

実際に届かれたとき、割を食うのはサービスを使う個人の側です。自分では何も間違えていないのに情報が外に出ます。企業の側は、自社のサーバーを守っていても、預けた先の共通部分から漏れる形になります。ただし、この6件についてはマイクロソフトが悪用の確認なしと明言しており、修正も完了しています。これから何かが起きるという話ではなく、起きる前に塞がったという報告です。

「対応不要」と書いてあるのに、なぜCVE番号が付くのか

利用者が何もしないなら、そもそも公表しなくてよいのでは——という疑問が出ます。これはマイクロソフトが2024年から始めた方針の結果です。同社はクラウドサービスの脆弱性にもCVE番号を発行する方針を採り、利用者側の作業が発生しない場合でも情報を出すようにしました。今回のFAQにも、その目的がはっきり書かれています。

つまりこの14件は、「危ないので直してください」というお知らせではなく、「こういう欠陥があったので直しました」という事後報告です。利用者にとっては嬉しい話である一方、脆弱性データベースの上では通常のCVEと同じ形で並ぶため、危険度10.0という数字だけが独り歩きしやすい構造になっています。

海外メディアの報じ方と、公式の記載が食い違っている

今回、英語圏では Azure Key Vault の1件（CVE-2026-62825）を単独で取り上げ、「保管庫のアクセス権を見直し、シークレット（保管されている秘密の文字列）のローテーションに備えよ」という趣旨で伝えている記事が複数出ています。危険度10.0で、鍵を預けるサービスという組み合わせを見れば、そう書きたくなるのは分かります。

ただし、マイクロソフト自身はそのような対応を求めていません。公開データの customerActionRequired は false であり、FAQも「取るべき対応はありません」の一文です。悪用の有無は「No」、情報の事前公開も「No」。鍵のローテーションは、それ自体は良い運用習慣ですが、この脆弱性を根拠に緊急でやるべきこととして公式に示されてはいない、というのが現時点の事実関係です。

この記事は、判断の材料をマイクロソフトの公開データそのものに置いています。もし今後、悪用の確認や追加の勧告が出た場合は本記事に追記します。

実際に手を動かすのは、この37件のほう

同じ7月23日には、更新が必要な37件も一緒に公表されています。見出しになりにくい地味な側ですが、作業が発生するのはこちらです。

Azure Linux（Mariner）25件

危険度は3.1から7.5までで、10.0のような派手な数字はありません。Azure Linux は、AKSのノードやAzure上のコンテナ基盤の土台として動いていることが多く、自分で選んだ覚えがなくても使っているケースがあります。パッケージの更新で対処します。最も低い CVE-2026-55708 は危険度3.1ですが、それでも「利用者の対応が必要」に分類されています。

Microsoft Edge 12件（CVE-2026-16413 〜 16424）

Edge は Chrome と同じ Chromium という土台を使っているため、Chromium 側の修正がそのままEdgeの更新として降りてきます。この12件はその取り込み分です。Edgeは既定で自動更新されるので、多くの場合は放っておいても当たりますが、更新を止めている環境では手当てが要ります。

なお翌7月24日には、Edge固有の欠陥3件（CVE-2026-57989・57990・57978）が追加で公表されました。うち2件は危険度7.4で、罠サイトを開いた上で入力欄の自動補完を発動させる2回のタップという具体的な操作を条件に、情報が読み取られるというものです。修正版は Edge 150.0.4078.99（7月24日リリース、Chromium 150.0.7871.187 ベース）です。さらに7月25日には、Chrome側の4件（CVE-2026-16804〜16807）がEdgeにも取り込まれています。ブラウザ側の詳しい経緯はChrome／EdgeのV8ゼロデイ脆弱性まとめに整理しています。

自分は影響を受けるのか、立場別の早見表

Edgeのバージョン確認は、Edgeを開いて右上の「…」から「ヘルプとフィードバック」→「Microsoft Edge について」を選ぶだけです。この画面を開いた時点で更新の確認が走ります。

なお、7月14日の月例更新（Patch Tuesday）で当てるべきものは今回とは別です。SharePoint Server の無認証乗っ取りなど、実際に手を動かす必要がある重大なものが含まれているので、そちらは2026年7月のMicrosoft月例更新のまとめを参照してください。

よくある質問

危険度10.0なのに何もしなくていいというのは本当ですか

マイクロソフトの公開データ上はそうなっています。危険度（CVSS）は「もし悪用されたら、どれくらいひどいか」を測る数字であって、「あなたが何をすべきか」を示す数字ではありません。今回の6件は、悪用される前にマイクロソフト側で塞がれた状態で公表されています。

パスワードやAPIキーを変えたほうがいいですか

今回の件を根拠とした変更は、マイクロソフトから求められていません。悪用の確認も「なし」とされています。定期的な入れ替えは一般論として良い運用ですが、緊急対応として今すぐ実施すべきという公式の指示は出ていません。

米政府の「実際に攻撃されている脆弱性リスト」に載っていますか

載っていません。2026年8月13日時点で、8月公表の20件、7月23日公表の14件、7月30日のCVE-2026-66803、この35件すべてが未登録です。米国CISAの実際に悪用が確認された脆弱性のリスト（KEV）の版数2026.08.11・全1,665件と照合しました。対象を広げて、7月と8月にマイクロソフトが「対応不要」と分類したクラウドのCVE全41件で照合しても、結果は同じく0件です。

対比になるのが、同じ7月と8月にKEVへ登録されたマイクロソフト製品の6件です。SharePoint Server（社内に置くほう）が3件、Active Directoryの認証連携が1件、7月14日と22日にも1件ずつ。そして8月11日に登録されたCVE-2026-68820（Windows）。6件とも、利用者が更新プログラムを当てる必要がある製品です。7月1日登録のCVE-2026-45659にいたっては、身代金要求型ウイルスに使われたことまで確認されています。

さらに言うと、Azureのサービスは、KEVの歴史を通じて1件も登録されたことがありません。マイクロソフト側で直して終わる欠陥は、そもそも「利用者が急いで直すべきリスト」に載せる意味がないからです。危険度10.0でKEVに載っていない脆弱性と、危険度7.0でKEVに載っている脆弱性なら、急ぐべきは後者です。

日本の公的機関からの注意喚起は出ていますか

注意喚起という形では出ていません。JPCERT/CCとIPAは8月12日に月例更新への注意喚起を出していますが、そこで名指しされているのは実際に攻撃されているCVE-2026-68820のほうで、この記事で扱っているクラウドの20件には触れられていません。

ただし、調べていて引っかかったことがあります。脆弱性の情報を集めた国内のデータベース「JVN iPedia」には、Teamsの3件を含めて全件が日本語で登録されています。CVE-2026-65667なら「Microsoft Teams における権限昇格の脆弱性」という具合です。

問題は、そこに書かれている対策欄です。どのページも「ベンダ情報をご参照の上、適切な対策を実施して下さい」という定型文だけで、マイクロソフト側で修正済みであることも、利用者の対応が不要であることも書かれていません。日本語の情報だけを追う人は、存在しない更新プログラムを探し続けることになります。

逆に、実際に攻撃されているCVE-2026-68820のほうは、8月13日時点でJVN iPediaに登録されていません。対応が不要なものは日本語で読めて、いま急ぐべきものは読めないという、順序が逆の状態になっています。この記事のように1件ずつ照会して確かめる作業が要るのは、そのためです。

Teamsのアプリを更新すれば安全になりますか

この件に関しては、更新しても関係がありません。危険度10.0が付いたCVE-2026-65667は、パソコンやスマホに入っているTeamsアプリではなく、マイクロソフトが動かしているサービス側の欠陥だからです。直す場所も同社の側にあり、すでに直っています。もちろんアプリを最新に保つこと自体は良い習慣ですが、この20件のためにやるべきことではありません。

ただし、8月11日に公表されたTeamsの3件は話が別で、そちらはアプリの更新が必要です（Android版・iOS版が対象）。同じ8月にTeamsで「対応不要」と「要対応」が両方出ているので、混同しないでください。

8月の月例更新（8月11日）も何もしなくていいのですか

いいえ、そちらは別です。8月11日に公開されたマイクロソフト製品の脆弱性は400件、うち最も重い「緊急」区分が42件あり、いずれも適用が必要です。中には実際に攻撃に使われていることが確認されたCVE-2026-68820も含まれます。この記事の20件は8月6日公表のクラウド側だけを扱ったもので、月例更新とは完全に別の話です。

なお、Teamsについては8月11日の分に「利用者の対応が必要」なものが3件あります。スマートフォンのアプリを更新してください。詳しくは記事前半の「8月11日の月例更新は別物です」の項に書きました。

Azure App Service を使っていますが危ないですか

CVE-2026-58630 の対象は、マイクロソフトの正式タイトルでは「Azure App Service on Azure Stack Hub」です。自社データセンターに置くAzure Stack Hub版が対象で、通常のAzure上のApp Serviceとは別物です。脆弱性データベース側の要約からはこの限定が落ちているため、要約だけを読むと誤解しやすくなっています。

まとめ

2026年8月6日公表分は20件。危険度10.0が3件で、そのうち1件がMicrosoft Teamsでした。ほかにAzure SQL Database、Microsoft 365管理センター、SharePoint、Copilot Cowork、Azure Active Directoryなど、名前の通ったサービスが並びます。ですが20件とも修正はマイクロソフト側で完了しており、利用者が当てる更新は存在しません。悪用の確認もゼロ、実証コードも「なし」と評価されています。

7月分も同じでした。7月23日の51件のうち、危険度10.0の6件を含むクラウド分14件は対応不要。実際に手を動かすのは、危険度が3.1から7.5にとどまる Azure Linux の25件と Microsoft Edge の12件のほうでした。7月30日にはAzure Cosmos DBの10.0が1件加わっています。

3か月続けて同じ形が出ています。危険度の数字は、あなたの作業リストではありません。マイクロソフトがクラウドの欠陥にもCVE番号を出すようになったことで、こういう「読むだけで終わる10.0」は今後も定期的に流れてきます。数字に驚く前に、その脆弱性に当てる更新が存在するのかどうかを先に確かめる。クラウド側のサービスなら、たいてい答えは「存在しない」です。

ただし、切り分けは必要です。WindowsやOfficeのように自分の手元に入っているソフトの更新は、これとは別に配られます。8月11日の月例更新はマイクロソフト製品だけで400件、うち緊急が42件あり、実際に攻撃されている脆弱性も1件含まれていました。Teamsについても、この日の分には利用者の更新が必要なものが3件あります。同じ月に同じ製品名で「対応不要」と「要対応」が並ぶのが、いまのマイクロソフトです。名前ではなく、公開データの分類で判断してください。

最後に、この記事自体の訂正についても書いておきます。8月分は当初17件としていましたが、再照会で3件の取りこぼしが分かり20件に改めました。CVE-2026-59118のサービス名も、マイクロソフトが8月11日に正式名称を修正したのに合わせて「Copilot Cowork」へ直しています。公開データを見に行く記事は、その公開データが書き換わったときに一緒に直さなければ意味がありません。この記事は今後も同じやり方で追い続けます。

参照元

• ・MSRC — CVE-2026-65667（Microsoft Teams 権限昇格・危険度10.0）
• ・MSRC — CVE-2026-56162（Azure SQL Database 権限昇格・危険度10.0）
• ・MSRC — CVE-2026-63508（Microsoft Planetary Computer Pro 権限昇格・危険度10.0）
• ・MSRC — CVE-2026-62896（Microsoft Teams 権限昇格・危険度9.6）
• ・MSRC — CVE-2026-62918（Microsoft Teams なりすまし・危険度7.5）
• ・MSRC — CVE-2026-70332（Microsoft Office SharePoint なりすまし・危険度9.6）
• ・MSRC — CVE-2026-59118（Copilot Cowork 権限昇格・危険度9.3）
• ・MSRC — CVE-2026-62873（Microsoft 365 管理センター 権限昇格・危険度9.8）
• ・MSRC — CVE-2026-50481（Azure Active Directory 権限昇格・危険度9.9）
• ・MSRC 公開API（8月公表20件の customerActionRequired・exploited・publiclyDisclosed を2026年8月7日に全件照会）
• ・Microsoft Security Response Center — CVE-2026-62825 Azure Key Vault Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-56163 Microsoft Azure Kubernetes Service Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-56191 Microsoft Exchange Online Tampering Vulnerability
• ・MSRC — CVE-2026-58275 Azure DNS Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-58630 Azure App Service on Azure Stack Hub Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-57106 Data Quality Elevation of Privilege Vulnerability
• ・MSRC — CVE-2026-57989 Microsoft Edge (Chromium-based) Information Disclosure Vulnerability
• ・Microsoft — 2026年7月のセキュリティ更新プログラム リリースノート
• ・Microsoft — Toward greater transparency: Unveiling Cloud Service CVEs
• ・NVD — CVE-2026-62825
• ・CWE-287: Improper Authentication
• ・GitHub — microsoft/azurelinux（旧 CBL-Mariner）
• ・MSRC — CVE-2026-50516（Azure Kubernetes Service 権限昇格・危険度9.4）
• ・MSRC — CVE-2026-62869（Microsoft Entra ID なりすまし・危険度8.8）
• ・MSRC — CVE-2026-63522（Azure SQL Database 権限昇格・危険度7.8）
• ・MSRC — CVE-2026-68820（Windows AFD for WinSock 権限昇格・悪用確認済み）
• ・MSRC — CVE-2026-65768（Microsoft Teams for Android・要対応）
• ・Wiz — CosmosEscape: Taking Over Every Database in Azure Cosmos DB（2026年7月30日）
• ・JPCERT/CC — 2026年8月マイクロソフト製品のセキュリティ更新プログラムに関する注意喚起（2026年8月12日）
• ・IPA — Microsoft 製品の脆弱性対策について（2026年8月）
• ・CISA — Adds Three Known Exploited Vulnerabilities to Catalog（2026年8月11日）