今週のMicrosoft Entra IDアップデートは、完全に管理されたクラウドIDプラットフォームであっても重大な脆弱性が存在し得ることを改めて痛感させる内容となっています。Microsoftは、実際に悪用されたEntra IDのCVSS 10.0リモートコード実行(RCE)の脆弱性を開示しました — 幸いなことにサーバー側ですでに修正済みです。このセキュリティインシデントに加えて、Microsoftはカスタムブランディングから廃止されるCSSプロパティのリストを拡大し、Windows Hello for BusinessとmacOS Platform SSOがスタンドアロンのMFA要素として機能することに関する新たな詳細を提供しました。Netwrixのサードパーティ製ツールにも注目が必要です。PingCastle 4.0は102項目のEntra IDリスクチェックとAIエージェントIDの検出をもたらします。

CVE-2026-69836: 実際に悪用されたEntra IDの重大なRCE

今週の最重要ニュースは深刻です。2026年8月20〜21日、MicrosoftはCVE-2026-69836を開示しました。これはMicrosoft Entra IDにおけるCVSS 10.0のCritical(重大)リモートコード実行の脆弱性で、修正される前に実際に悪用されていました。

何が起きたのか

この脆弱性は、Entra IDのバックエンドにおける信頼されないデータのデシリアライゼーションの問題(CWE-502)です。サービスは、適切な検証なしに特別に細工されたシリアライズ済みデータオブジェクトを処理していました。認証されていない攻撃者が、悪意のあるシリアライズデータを脆弱なエンドポイントに送信し、サービスに任意のコードを実行させることができました — ネットワーク経由で、資格情報なしで、ユーザーの操作も不要です。これはセキュリティ研究者がゼロクリックでネットワークから到達可能なRCEと呼ぶものです。

この脆弱性は、MicrosoftのプリンシパルセキュリティエンジニアであるRobert Fitzpatrick氏によって発見されました。Microsoftは2026年8月21日にセキュリティアドバイザリを公開し、すでに悪用が発生していたことを確認しました。

良い知らせ

Entra IDは完全に管理されたクラウドサービスであるため、Microsoftは自社のインフラストラクチャ上で脆弱性を修正することができました — 顧客側でのパッチ適用は不要です。Microsoftは次のように述べています:

「この脆弱性はMicrosoftによってすでに完全に緩和されています。このサービスの利用者に取っていただく対応はありません。このCVEの目的は、さらなる透明性を提供することです。」

インストールすべきKB記事も、行うべき構成変更も、適用すべき更新プログラムもありません。修正は、ほとんどの組織がこの欠陥の存在を知る前にサーバー側で展開されました。

セキュリティチームが行うべきこと

修正に顧客側の対応が不要とはいえ、実際の悪用が確認されているため、セキュリティチームは悪用が行われていた期間中に自社のテナントが標的になったかどうかを調査すべきです:

  1. 24時間以内: 2026年8月21日より前の30日間におけるEntra ID監査ログとサインインログで異常なアクティビティを確認します。Microsoftは悪用期間を開示していないため、不明として扱ってください。オンプレミスまたはハイブリッドインフラストラクチャのコンポーネント(Entra Connect同期サーバー、パススルー認証エージェント、Application Proxyコネクタ)が関連する脆弱性の影響を受けていないことを確認します。

  2. 72時間以内: 条件付きアクセスポリシーと特権ロールの割り当てに不正な変更がないか検証します。すべてのAzureおよびEntra IDサービスがセキュリティ更新プログラムで最新の状態であることを確認します — 同じバッチでは、他にも複数の重大な脆弱性が修正されています(CVE-2026-69851、Entra IDのもう1つのCVSS 10.0特権昇格、さらにAzure SQL、Exchange Online、Azure Arc、Microsoft Fabricの重大な欠陥)。

  3. 7日以内: サードパーティのアプリケーション登録とサービスプリンシパルの資格情報に不正な追加や変更がないか確認します。インシデント対応ランブックを更新し、クラウドIDプラットフォームの侵害シナリオを含めます。

なぜ重要か

これはクラウドセキュリティにおける画期的な出来事です。世界で最も広く使用されているクラウドIDプラットフォームにおけるCVSS 10.0の脆弱性の実際の悪用が確認されたことは、以下を浮き彫りにします:

  • クラウドサービスにも重大な脆弱性が存在し得る — 「Microsoftが管理している」ことは「欠陥がない」ことを意味しない
  • 透明性が重要である — サーバー側の修正に対してCVEを公開するというMicrosoftの判断は、セキュリティチームに潜在的な侵害を調査するために必要な可視性を提供する
  • IDが新たな境界線である — IDプラットフォームの脆弱性は、事実上、それに依存するすべてのものの脆弱性である

Entra IDを中核のIDプロバイダーとして使用している組織(ほとんどのMicrosoft 365顧客が該当)にとって、この出来事はID中心のインシデント対応手順の見直しを促すものとなるはずです。

カスタムブランディング向けCSSプロパティ廃止の拡大 (MC1485474 / MC1458474)

Microsoftは、Entra IDのカスタムブランディングとサインインページから廃止されるCSSプロパティのリストを大幅に拡大しました。7月の当初の発表(MC1435782)では約10の配置(positioning)プロパティが対象でした。8月18日に文書化され、メッセージセンターでMC1485474およびMC1458474として通知された拡大リストには、さらに約28のプロパティが追加されています。

新たに追加されたプロパティ

拡大された廃止リストには、現在以下が含まれます:

  • オフセットプロパティ: offset、offset-path、offset-distance
  • 論理マージンプロパティ: margin-block、margin-block-start、margin-block-end、margin-inline、margin-inline-start、margin-inline-end
  • Flexboxの順序: order
  • CSS Gridプロパティ: grid-area、grid-column、grid-column-start、grid-column-end、grid-row、grid-row-start、grid-row-end
  • 分離(isolation): isolation
  • 方向別オーバーフロー: overflow-x、overflow-y、overflow-block、overflow-inline
  • 可視性の制御: content-visibility、clip
  • マスキング: mask、mask-image、-webkit-mask、-webkit-mask-image

タイムライン(変更なし)

  • 2026年7月21日: これらのプロパティをまだ使用していないテナントは、今後設定できなくなります
  • 2026年10月26日: リストに記載されているすべてのCSSレイアウトおよび配置プロパティがグローバルに廃止されます — ブランディング要素は表示されたままですが、デフォルトの配置に戻ります
  • 2027年以降: カスタムCSSの完全廃止(事前通知の約束あり)

対応方法

  1. Entra管理センターから現在のカスタムCSSファイルをダウンロードします
  2. 廃止対象のプロパティの使用箇所を検索します(完全なリストには、7月の当初のプロパティと8月の新規追加分の両方が含まれます)
  3. 影響を受けるプロパティを削除または置き換えるようにブランディングを更新します
  4. 変更後にサインインの操作性をテストします
  5. 変更内容をユーザーとステークホルダーに伝えます

この拡大は、欺瞞的なサインインページのレイアウトによるフィッシングリスクを低減するためのMicrosoftの**Secure Future Initiative (SFI)**の一環です。メッセージは明確です: Entra IDサインインページ用のカスタムCSSの残された時間は限られています。凝ったカスタムブランディングに投資してきた組織は、カスタムCSSがまったくない将来に向けた計画を今から始めるべきです。

Windows Hello for BusinessとmacOS Platform SSOのスタンドアロンMFA (ロードマップID 568076)

2026年8月20日に公開されたMicrosoft 365ロードマップ項目568076は、以前に発表された(MC1450134、8月7日)Windows Hello for BusinessとmacOS Platform SSOがスタンドアロンのMFA要素として機能する機能について、重要な新しい運用上の詳細を提供します。

何が変わったのか

変更前: WHfBとmacOS PSSOは、プライマリサインイン時のみMFAとしてカウントされていました。ステップアップ認証プロンプト、認証強度ポリシー、サインイン頻度チェックでは、ユーザーは別途パスキーが必要でした。

変更後: WHfBとmacOS PSSOは、すべてのMFAシナリオでスタンドアロンの第2要素として多要素認証を満たすことができるようになりました。WHfBまたはmacOS PSSOのみを持つユーザーはMFA対応として扱われ、他の方法の登録を自動的に求められることはなくなります。

重要な注意点

WHfBとmacOS PSSOはデバイスに紐づく資格情報です — 登録された特定のデバイスでのみ機能します。Microsoftは、組織がオンボーディング時にポータブルな方法(パスキーやMicrosoft Authenticatorなど)の登録を引き続きユーザーに求めることを推奨しています。これにより、どのデバイスからでもMFAを完了できます。

タイムライン: 2026年10月、全世界およびGCC。

これは、管理されたデバイス群を持つ組織にとって有意義な摩擦の軽減です。Windows HelloまたはmacOS Platform SSO環境のユーザーは、ステップアップ認証プロンプトを満たすためだけに別の方法を登録する必要がなくなり、フィッシング耐性のあるMFA基準を維持しながらオンボーディングの複雑さを軽減します。

PingCastle 4.0: サードパーティ製Entra IDアセスメントの成熟

Netwrixは2026年8月18日にPingCastle 4.0をリリースしました。人気のオープンソースActive Directoryアセスメントツールを拡張し、102項目のリスクチェックでMicrosoft Entra IDをカバーします。併せて、Netwrix Threat Manager 3.3はAIエージェントIDの可視性とAzure Filesのランサムウェア監視を追加します。

PingCastle 4.0のハイライト

  • 102項目のEntra IDリスクアセスメント — 以前のPingCastleはオンプレミスのActive Directoryのみをアセスメント対象としていました
  • オンプレミスのADとクラウドのEntra IDの両方を、同じ高速かつ優先順位付けされたアプローチで統合的にアセスメント
  • 現在利用可能です

Netwrix Threat Manager 3.3のハイライト

  • AIエージェントIDのインベントリ — Entra IDで動作するAIエージェントを検出し、それらが保持するアクセス権を表示します
  • Azure Filesの監視 — ランサムウェアの行動検出、異常な動作のアラート、リスクのある構成変更の検出
  • エージェント固有の脅威検出は後のリリースで計画されています
  • 現在利用可能です

なぜ重要か

Netwrixのレポートによると、サービスアカウントやAIエージェントなどの非人間IDを完全にガバナンスしている組織はわずか**19%**です。MicrosoftのAgent IDとAgent 365はこの問題に対するファーストパーティのアプローチですが、独立したサードパーティのアセスメントツールは貴重な検証とより広いカバレッジを提供します。

PingCastleのEntra IDへの拡張は、より広い業界トレンドも裏付けています: IDセキュリティはもはや「オンプレミスのAD」と「クラウドのEntra ID」というサイロに分割することはできません。組織は両方の領域にわたる統合的な可視性を必要としており、そのギャップを埋めるツールが不可欠になりつつあります。

2026年8月のセキュリティ更新プログラムのバッチ

CVE-2026-69836の開示は、2026年8月20〜21日にリリースされたAzure、Entra ID、Exchange向けの22件のセキュリティ更新プログラムからなる大規模なバッチの一部でした。注目すべき重大な修正には以下が含まれます:

CVE製品種類CVSS
CVE-2026-69836Entra IDRCE (悪用済み)10.0
CVE-2026-69851Entra ID特権昇格10.0
CVE-2026-69502Azure SQL Database特権昇格10.0
CVE-2026-65801Exchange Online特権昇格10.0
CVE-2026-65770Azure Managed Instance for Apache CassandraRCE10.0
CVE-2026-69555Azure Arc特権昇格10.0
CVE-2026-63509Microsoft Fabric特権昇格Critical
CVE-2026-69400Azure Logic Apps特権昇格Critical
CVE-2026-62834Azure Data Factory特権昇格Critical

クラウド管理サービス(Entra ID、Exchange Online)の場合、修正はサーバー側で適用されます。顧客管理のコンポーネント(Entra Connectサーバー、オンプレミスのExchange)については、関連する更新プログラムを直ちに適用してください。

まとめ

今週のEntra IDアップデートは、重大なセキュリティからUXの改善まで全範囲に及びます:

  1. CVE-2026-69836 — 実際に悪用されたEntra IDのCVSS 10.0 RCE。サーバー側で修正されたが、セキュリティチームによる監査ログのレビューが必要
  2. CSS廃止の拡大 — カスタムブランディングから廃止される28の追加CSSプロパティ。10月26日が期限
  3. WHfB/macOS PSSOのスタンドアロンMFA — デバイスネイティブの生体認証が2026年10月からすべてのシナリオでMFAを満たす
  4. PingCastle 4.0 — 102項目のリスクチェックとAIエージェントIDの検出を備えたサードパーティ製Entra IDアセスメント

CVE-2026-69836の開示が最も重要な項目です。修正に顧客側の対応は不要ですが、世界で最も広く使用されているクラウドIDプラットフォームにおけるゼロクリックRCEの実際の悪用が確認されたことは警鐘です。セキュリティチームはこれを機会と捉え、ID中心のインシデント対応手順を見直し、侵害の兆候についてEntra ID環境を監査し、IDプラットフォームの悪用を示すシグナルを監視がカバーしていることを確認すべきです。

Microsoft Entra IDとセキュリティの毎日アップデートについては、X(https://x.com/kkaminsk)でKevinをフォローしてください。