Entra IDに危険度10.0の脆弱性、悪用の記録あり。対応は不要

マイクロソフトが2026年8月20日（日本時間8月21日未明）、クラウドサービスの脆弱性（ソフトウェアの欠陥）を19件公表しました。うち6件が危険度10.0で、評価の最大値です。そしてそのうち1件、Microsoft Entra IDのものだけが「悪用された」と記録されています。

Entra ID（エントラ アイディー）は、Microsoft 365やAzureにログインするときの本人確認を担っている部分です。旧称はAzure Active Directory。社員のアカウントとパスワード、多要素認証、アクセス権限がここに集まっています。日本の会社でMicrosoft 365を使っているなら、ほぼ確実に動いています。

先に結論を書きます。19件とも、利用者がやることはありません。当てるべき更新プログラムが存在しないからです。マイクロソフトは19件すべてに同じ説明を付けています。

ただし「対応は不要」と「何も起きなかった」は別の話です。Entra IDの1件について、マイクロソフトは悪用された事実を認めながら、いつ・誰が・どれだけ影響を受けたのかを一切書いていません。この記事はそこを中心に整理します。数字はマイクロソフトの公開データを19件すべて1件ずつ照会して確かめました。

同社のクラウドCVEを追い続けている記事が別にあります。7月分・8月上旬分はTeams危険度10.0の脆弱性 CVE-2026-65667ほか20件、対応不要にまとめています。

Entra IDの脆弱性 CVE-2026-69836、19件で唯一「悪用あり」

今回の中心はこれです。危険度10.0、種類は「リモートでのコード実行」。マイクロソフトの説明は「Microsoft Entra IDにおける信頼されないデータのデシリアライズにより、認証されていない攻撃者がネットワーク経由でコードを実行できる」です。

「デシリアライズ」とは、送られてきたデータの塊を、プログラムが扱える形に戻す処理のことです。ここで中身を検査せずに戻してしまうと、データのふりをした命令がそのまま動きます。荷物を開けずに中身を信用して倉庫に入れる、というイメージが近いです。

記号で書くと CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。ネット越しに、難しい条件なしで、ログインも利用者の操作もなしに成立し、影響がそのサービスの外側にまで及ぶという評価です。10.0が付く典型的な形です。

他の18件と違うのは、マイクロソフトの公開データにある「悪用状況」という項目です。19件のうち18件はExploited:No（悪用なし）ですが、この1件だけExploited:Yes（悪用あり）と記録されています。同社が公開している2種類のデータ（Update Guide APIと月次のCVRFファイル）の両方で同じ記載を確認しました。読み取りミスではありません。

同じ記録の中に、矛盾する項目もあります

正確を期すために書いておきます。同じ記録の別項目には E:U という記号が入っています。これは「攻撃コードは未確認」という意味で、「悪用あり」と食い違います。ただし今回の19件はE:Uが定型的に付けられており（1件だけ例外は後述）、個別に評価した数字には見えません。矛盾はマイクロソフト自身の公開データの中にあり、どちらが正しいかは同社しか判断できません。

管理者向けの説明が、何もありません

ここが今回いちばん気になる点です。危険度10.0で、本人確認の土台で、悪用された記録がある。それでも公開されている情報は前掲の定型文だけで、次のものがすべてありません。

• —自社のテナント（契約単位の領域）が影響を受けたかどうかの記載
• —ログで調べる方法、確認すべき項目
• —トークン（ログイン済みを示す通行証）を無効化すべきかどうかの指示
• —修正がいつ入ったのか、悪用が修正より前だったのかの説明

つまり、管理者の側にできることが本当に何もない状態です。作業がないので「対応不要」は事実として正しいのですが、「調べようがない」も同時に成り立っています。この2つは分けて理解しておいたほうがよいと考えます。

なお、Entra IDにはもう1件、CVE-2026-69851（表記はAzure Active Directory、危険度9.9）が同じ日に出ています。こちらは悪用なし、ログインが必要な条件付きです。

Exchange Onlineの脆弱性 CVE-2026-65801、こちらも10.0

Exchange Onlineは、Microsoft 365のメールを預かっているサービスです。こちらも危険度10.0。マイクロソフトの説明は「Microsoft Exchange Onlineにおけるサーバーサイドリクエストフォージェリ（SSRF）により、認証されていない攻撃者がネットワーク経由で権限を昇格できる」です。

SSRFは、サーバーに「そこへ通信しろ」と命じて、本来は外から届かない内側の場所へ代わりに手を伸ばさせる手口です。受付の人に館内の鍵付き部屋まで使いを頼む、という形に似ています。ログイン不要で成立し、影響がサービスの外側に及ぶと評価されました。悪用の記録はありません。

Azure SQL Databaseに4件、うち1件は実証コードが確認されています

1つのサービスに最も多く出たのがAzure SQL Databaseで、4件です。企業がクラウド上で使うデータベースサービスで、今回の19件のうち日本企業の業務データに最も近い場所にあります。

このうちCVE-2026-69502（危険度10.0）だけ、他と違う記号が付いています。E:P——実証コード（動くことを示す試作の攻撃コード）が存在するという意味です。19件のうちE:Pが付いたのは、これと後述のAzure Stack HCIの2件だけで、残る17件はE:U（未確認）です。

言い換えると、悪用の記録があるのはEntra IDの1件、攻撃コードの存在が示されているのは別の2件で、両者は重なっていません。残る3件のSQL Databaseは、CVE-2026-68782とCVE-2026-68789（ともに9.9、SQLインジェクション）、CVE-2026-66309（9.1、アクセス制御の不備）で、いずれもログインが必要な条件付きです。

19件の一覧

危険度の高い順です。「ログイン」の列は攻撃する側にアカウントが要るかどうかで、「不要」なら誰でも試せる形の欠陥だったことを意味します。ただしこれは修正される前の話で、いま同じことができるわけではありません。

Azure Arcが2件並んでいます。Azure Arcは、社内やほかのクラウドにあるサーバーをAzureの管理画面からまとめて操作する仕組みです。管理される側が広い範囲に及ぶため、ここが破られると影響範囲も広くなります。2件とも危険度10.0でログイン不要という評価でした。

利用者の対応は本当に不要なのか

不要です。19件とも、マイクロソフトの公開データで「利用者の対応が必要か」という項目が19件とも「不要」になっており、更新プログラムの案内も、設定変更の指示も、回避策の記載も付いていません。付ける対象が同社側にあるためです。

よくある誤解を2つ書いておきます。

• 1.パソコンやスマホのアプリを更新しても、この19件とは関係がありません。直す場所はマイクロソフトのサーバー側です
• 2.「危険度10.0」は修正前の評価です。いま自社の環境で同じことが成立するという意味ではありません

これはマイクロソフトが2024年6月から続けている方針によるものです。同社は「利用者がパッチを当てる必要があるかどうかにかかわらず、クラウドサービスの重大な脆弱性にはCVE番号を発行する」と表明しています。今回の19件はすべて、CVE番号の管理データ上でも「事業者が運用するサービスのみに存在する」という印が付いており、利用者側の作業がないことが機械的に読み取れる形になっています。

それでも社内で聞かれたときのために

「危険度10.0が6件」という数字だけが伝わると、社内で説明を求められることがあります。答えられる材料としては、次の3点を押さえておけば足ります。

• —当てる更新プログラムは存在しない。マイクロソフト側で修正済み
• —米国CISAの悪用が確認された脆弱性カタログ（KEV）には19件とも未収載（2026年8月20日版で確認）。ただしこのカタログは「期日までにパッチを当てる」ことを求める仕組みのため、作業が発生しないクラウド側の欠陥は原則として載りません。載っていないことを安全の根拠にはできません
• —Entra IDの1件だけ悪用の記録がある。ただし影響範囲は公表されていない

同じ日に、更新が必要な分も出ています

混同しやすいので分けて書きます。8月20日にマイクロソフトが公表したのは全部で57件で、うち19件が上記のクラウド分です。残りには利用者側の更新が必要なものが含まれます。

• —Microsoft Edge（Chromium版）12件。ブラウザを最新版にしてください
• —CVE-2026-71331（8.1）Windows Device Health Attestation
• —CVE-2026-61363（7.5）リモート デスクトップ クライアント
• —CVE-2026-55013（7.1）／CVE-2026-55015（5.5）Windows リモート ヘルプ
• —CVE-2026-62728（7.0）共通ログ ファイル システム ドライバー、CVE-2026-65795（6.7）Windows DNS、CVE-2026-70105（6.5）Word

これらはWindows Updateで配られます。8月の月例更新そのものは8月11日で、内訳は2026年8月のMicrosoft月例更新、約400件中いま危ないのは2件にまとめています。

報道はまだ出ていません

この19件を扱った記事は、2026年8月21日時点で見つかりませんでした。BleepingComputer、SecurityWeek、The Register、Dark Readingのいずれにもありません。公表が日本時間の8月21日未明で、多くの媒体の締め切りを過ぎていたためと見られます。

つまり危険度10.0のEntra IDの脆弱性に「悪用あり」と記録されている事実は、現時点でほとんど知られていません。マイクロソフトが今後この記録を訂正するのか、逆に詳細を追加するのかは、同社の更新履歴（現在は19件とも「バージョン1.0 情報公開」のまま）で追えます。CISAのカタログへの追加も、次回更新分が判断材料になります。

参照元

• —Microsoft Security Update Guide: CVE-2026-69836（Microsoft Entra ID）
• —Microsoft Security Update Guide: CVE-2026-65801（Microsoft Exchange Online）
• —Microsoft Security Update Guide: CVE-2026-69502（Azure SQL Database）
• —Microsoft CVRF: August 2026 Security Updates（機械可読データ）
• —MSRC: Toward greater transparency — Unveiling Cloud Service CVEs（2024年6月27日）
• —CISA Known Exploited Vulnerabilities Catalog（2026年8月20日版で確認）