Microsoftは2026年9月3日（現地時間）、9月の早期セキュリティ更新プログラムを公開し、複数のクラウドサービスで確認された脆弱性（ぜいじゃくせい）を公表した。対象は「Microsoft Discovery Studio」「Microsoft Entra ID」「Microsoft Power Automate」「Azure Cosmos DB」「Microsoft Fabric」「Azure AI Language」「Microsoft Copilot Studio」「Microsoft Azure Active Directory B2C」に及ぶ。各問題をMicrosoft側で修正済みとした。
Azure AI LanguageなどでCVSS 10.0
今回のセキュリティ更新における共通脆弱性評価システム（CVSS）v3.1のスコア範囲は7.4から最高の10.0だ。特に深刻度が最高のCVSS 10.0となったのは2件。CVE-2026-70352はAzure AI Languageの権限昇格の脆弱性で、重要な機能の認証欠陥により、認証されていない攻撃者がネットワーク経由で権限を高められる問題と説明された。CVE-2026-83711はMicrosoft Azure Active Directory B2Cの権限昇格の脆弱性で、利用者が制御可能なキーを介した認可回避により、認証されていない攻撃者がネットワーク経由で権限を高められる。
Entra IDとCopilot Studioなどの深刻度
Entra IDでは2件が公表された。CVE-2026-83941はCVSS 9.9で、認可の欠陥により、認証済みの攻撃者がネットワーク経由で権限を高められる。CVE-2026-62916はCVSS 9.1で、別経路や別チャネルを使った認証回避により、認証されていない攻撃者がネットワーク経由で権限を高められる。
Copilot StudioのCVE-2026-80098はCVSS 9.3。暗号署名の不適切な検証が原因で、認証されていない攻撃者によるネットワーク経由の権限昇格を許す。Microsoft FabricのCVE-2026-70178はCVSS 8.5で、認可の欠陥が権限昇格につながる。Power AutomateのCVE-2026-65818もCVSS 8.5で、サーバサイドリクエストフォージェリにより、認証済みの攻撃者が権限を高められる。
Azure Cosmos DBとDiscovery Studioの詳細
Azure Cosmos DBのCVE-2026-69857はCVSS 8.5で、利用者が制御可能なキーを通じた認可回避により、認証済みの攻撃者がネットワーク経由でなりすましを実行できる。Microsoftはこの脆弱性だけを「Exploitation More Likely」と評価した。
Microsoft Discovery StudioのCVE-2026-62906はCVSS 7.4。データ集合ロジックで特権要素を適切に無害化できない問題により、認証されていない攻撃者がネットワーク経由で情報を開示させられる。
詳細が示された9件では権限昇格が7件、なりすましが1件、情報漏えいが1件となった。いずれも公開時点で悪用されたとは評価されておらず、対象の脆弱性は同社が既に全面的に修正済みで、サービス利用者が保護のために作業する必要はないとした。
