マイクロソフトは、多くの暗号資産取引所やカストディアンを含む企業が従業員やシステムのアクセス管理に利用するクラウドID管理サービス、Entra IDの最高深刻度の脆弱性を修正した。CVE-2026-69836として追跡されているこの脆弱性は、可能な限り最高となるCVSSスコア10.0を記録しており、これはネットワーク経由で、権限も一切のユーザー操作も必要とせずに悪用できることを意味する。
問題の根本にあったのは安全でないデシリアライズだ。アプリケーションが受け取ったデータを利用可能な形式へ変換する際、事前の検証を適切に行わないと、攻撃者は単に読み取られるだけのデータではなく、コードとして実行されてしまうような悪意ある入力を仕込むことができる。Entra IDのケースでは、これによりリモートかつ未認証の攻撃者が、マイクロソフトのID基盤内で任意のコードを実行できてしまう可能性があった。
世に知られる前に修正済みだった
今回のケースが異例なのは、対応の順序だ。マイクロソフトはCVEを公表するより先にこの脆弱性を特定し修正していたため、悪用可能な状態のまま公に開示されたことは一度もなかったことになる。Entra IDはマイクロソフトが運用し、一元的にパッチを適用するサービスであるため、顧客側でのアップデート作業は一切不要で、修正はバックエンド側でそのままロールアウトされた。
マイクロソフトの広報担当者は、「この問題を特定し修正版で対応したうえで、より高い透明性を確保するためにCVE-2026-69836を公開した」とコメントしている。同社のアドバイザリーは当初、この脆弱性の悪用状況を「あり」と記載していたが、その後「なし」に訂正した。マイクロソフトはこれを「情報の修正にすぎない」としており、パッチが適用される前の段階でこのバグが実際に悪用された事実はなかったと説明している。
関連記事: 1.3億ドル流出を受け、有志の「レッドチーム」がAI対策でビットコインソフトを点検
マイクロソフトの外にも及ぶID脆弱性の重み
Entra IDは、企業向けソフトウェアの膨大な部分を支えるログインフローの土台に位置しており、そこにはマイクロソフトのクラウドを社員認証やアクセス管理に利用している暗号資産企業の社内ツールも含まれる。この層でこれほどの深刻度の脆弱性が見つかったことは、業界が直面する壊滅的なハッキングのリスクがスマートコントラクトやブリッジだけにとどまらず、暗号資産企業が土台として利用しているID・クラウドインフラのプロバイダーにまで及んでいることを改めて突きつける出来事だ。これは、今年発生した1.3億ドル規模のハッキングを受けてビットコイン自身のコードベースを強化しようという有志によるレッドチーム活動を突き動かしているのと同じ教訓であり、ザ・サンドボックスのブリッジがエクスプロイトを受け、数十億ドル相当の裏付けのないトークンが発行された事態の後始末とも重なる。深刻度10のバグは、誰もが注視しているアプリケーション層のコードだけでなく、インフラ層にも潜んでいるケースが増えているということだ。
現時点でマイクロソフトは、修正は完全に展開済みでありEntra ID利用企業側での対応は不要だとしている。この脆弱性を発見したのが誰か、バグ報奨金プログラムを通じたものだったのかについては、同社は明らかにしていない。
