Trusted DesignCVE-2026-69836 の詳細
CVEの情報
説明:
Deserialization of untrusted data in Microsoft Entra ID allows an unauthorized attacker to execute code over a network.
CVE更新日: 2026-08-20 22:18:00.740000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2026-08-21
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.015550000
EPSS更新日: 2026-08-30 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE‑2026‑69836はMicrosoft Entra ID（旧 Azure Active Directory）における「未認証リモートコード実行（RCE）」脆弱性。 原因は CWE‑502: Deserialization of Untrusted Data。 Microsoft によりサービス側で完全に緩和済み（顧客側パッチ不要）。
1. 脆弱性の概要
Microsoft Entra ID のバックエンドコンポーネントが 攻撃者が制御するデータをデシリアライズしてしまう ため、 未認証の攻撃者がネットワーク越しに任意コード実行（RCE）可能。 Microsoft はこの脆弱性を サービス側で完全に緩和済み としており、 顧客側でのパッチ適用は不要 と明記している。
1.1 影響
Entra ID のバックエンドに対する 完全な技術的影響（total technical impact）
（CISA SSVC 評価）
Entra ID は Microsoft 365 / Azure / SSO / アプリ登録 / 認証基盤の中心であるため、 潜在的影響は極めて重大（ただし Microsoft は影響範囲を未公開）
1.2 深刻度
CVSS v3.1: 10.0（CRITICAL）
Vector: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
（Microsoft CNA 評価）
CVSS v4.0（NVD）: 未評価（N/A）
（NVD は記録を「enrichment 中」と記載）
2. 対象となる環境
2.1 影響を受ける製品
※クラウドサービスであるため、顧客側バージョンやビルド番号は存在しない。
（NVD・SOCRadar いずれも「exclusively hosted service」と記載）
2.2 影響を受ける設定
ただし Microsoft により サービス側で完全緩和済み
→ 顧客側設定依存の影響は 不明（Microsoft は詳細非公開）
3. 影響を受けた時の兆候（IoC）
Microsoft・CISA は 具体的な IoC を公開していない（不明）。
Security Arsenal（技術分析）による事実ベースの指摘：
代わりに以下の「事後的異常」を確認すべきとされる：
4. 推奨対策
4.1 本対策（恒久対策）
ただし Security Arsenal は以下を推奨：
* テナント内の アプリ登録・権限・サービスプリンシパル・CA ポリシー の整合性確認 * 過去のサインインログの異常検査
4.2 暫定回避策（緩和策）
Microsoft は 回避策を公開していない。
有効な緩和策（Security Arsenal）：
5. その他補足
5.1 悪用状況
5.2 脆弱性分類
（Microsoft CNA / NVD 記載）