Microsoftは2026年8月20日（現地時間）、「Microsoft Entra ID」に存在したリモートコード実行の脆弱性「CVE-2026-69836」に関する情報を公開した。共通脆弱性評価システム（CVSS）v3.1のスコア値は最大値の「10.0」で、深刻度は「緊急（Critical）」に分類されている。
CVSS 10.0の脆弱性の概要と対応状況
この脆弱性は、信頼できないデータの逆シリアル化に関する処理の不備に起因するものだ。認証されていない攻撃者がネットワーク経由でコードを実行できるリスクが存在したとされる。同社は、公開時点で悪用例は確認されておらず、悪用される可能性も低いとしている。
また、この脆弱性に対してはMicrosoft側で既に修正措置が適用されており、サービス利用者側でパッチ適用や設定変更といった作業を実施する必要はない。そのため、ユーザー向けの修正プログラムや対応手順は提供されていない。
—
対応不要な情報が公開された背景
ユーザー側の作業が発生しないにもかかわらず脆弱性情報が公開された点について、Microsoftはクラウドサービスにおけるセキュリティ状況の「透明性の確保」を理由として挙げている。
同社はサービス側の脆弱性公開ポリシーにおいて、利用者が自社環境のセキュリティ状況を検証・判断できるように情報開示を行うとしている。今回の公開は、ユーザーに対応を求める通知ではなく、該当する脆弱性の存在とサービス側での対処状況を記録・周知するための公開資料と位置付けられている。
そのため利用者側においては、追加の防御策を実施するのではなく、当該脆弱性が報告されMicrosoft側で処置が完了しているという事実を判断しておくことが求められる。
