昨日の、Microsoft Entra IDにおけるCVSS 10.0のリモートコード実行脆弱性に関する見出しは瞬く間に広まりました。本日は重要な訂正がもたらされます。Microsoftは、The Hacker Newsからの問い合わせを受けて、CVE-2026-69836の悪用状況を「Yes(悪用あり)」から「No(悪用なし)」に修正しました。この脆弱性が重大であることに変わりはありません — 認証不要、ネットワークから到達可能、ゼロクリック — しかし、当初報じられたような実環境での悪用は確認されていません。この訂正に加えて、本アップデートでは、B2Bゲストユーザー向けパスキーサポートの確定した展開時期、Microsoft 365管理センターにおけるマルチテナントエージェント管理の新しいパブリックプレビュー、GitHubフェデレーションID資格情報要件の厳格化、Global Secure AccessのWebフィルタリングポリシーに関する新しい移行ガイドを取り上げます。

CVE-2026-69836: 悪用状況が「No」に修正

2026年8月20日、MicrosoftはCVE-2026-69836を開示しました。これはMicrosoft Entra IDにおけるCritical(重大)なリモートコード実行の脆弱性で、CVSS 3.1ベーススコアは10.0です。この脆弱性は、信頼されないデータのデシリアライゼーション(CWE-502)に起因します — Entra IDのバックエンドは、十分な検証なしに特別に細工されたシリアライズ済みデータを処理する可能性があり、認証されていない攻撃者がユーザーの操作なしにネットワーク経由で任意のコードを実行できる可能性がありました。

8月21日に変更された内容

Microsoftの当初のセキュリティ速報では、悪用可能性評価表の「Exploited(悪用)」欄が「Yes」とされていました。The Hacker Newsからの問い合わせを受けて、Microsoftは2026年8月21日に状況を「No」に修正しました。Microsoftの広報担当者は次のように述べています:

「私たちはこの問題を修正プログラムで特定し対処し、より大きな透明性のためにCVE-2026-69836を公開しました。お客様に追加で行っていただく対応はありません。」

NVDレコードもその後更新され、CISAのSSVC評価では現在「exploitation: none(悪用なし)」と表示されています。BleepingComputer、Cybersecurity News、The Registerを含む複数のセキュリティメディアが、この訂正を反映して記事を更新しました。

技術的詳細

CVSSベクターが全体像を示しています: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C

  • 攻撃元: ネットワーク(リモートから悪用可能)
  • 攻撃の複雑さ: 低
  • 必要な権限: なし
  • ユーザー操作: なし(ゼロクリック)
  • スコープ: 変更あり(脆弱なコンポーネント以外のリソースにも影響する可能性)
  • 影響: 機密性:高、完全性:高、可用性:高
  • Temporalスコア: 8.7(Microsoftの是正措置によりベーススコア10.0より低い)

Microsoftは、具体的な脆弱なエンドポイント、シリアライゼーション技術、内部の悪用経路を開示していません。この脆弱性は、MicrosoftのプリンシパルセキュリティエンジニアであるRobert Fitzpatrick氏によって発見されました。公開された概念実証(PoC)コードは存在しません。EPSS確率スコアは1.4%(低)です。

組織にとっての意味

Entra IDは完全に管理されたクラウドサービスであるため、Microsoftは修正を自社のインフラストラクチャに直接適用しました。インストールすべきパッチも、展開すべきKB記事も、必要な構成変更もありません。このCVEは純粋に透明性のために公開されました — 自社の環境に影響を与えた脆弱性への可視性をセキュリティチームに提供するためです。

しかし、このインシデントは重要な現実を浮き彫りにします。クラウドIDプラットフォームも重大な脆弱性に対して無縁ではありません。組織は以下を行うべきです:

  1. Entra IDのサインインログを確認し、開示(2026年8月20日)前の30日間に異常なアクティビティがないか調べます。異常なサインインパターン、予期しないサービスプリンシパル認証、不審なアプリケーション同意付与を探します。
  2. 特権ロールの割り当てを監査します — Global Administrator、Privileged Role Administrator、その他の高特権ロールへの不正な変更がないか検証します。
  3. 新しいサービスプリンシパルの作成と資格情報の追加を確認します — Entra IDでコード実行を達成した攻撃者は、トークンを発行し、サービスプリンシパルになりすまし、完全に正規に見える資格情報でダウンストリームのリソースに到達できる可能性があります。
  4. ログを独立したインフラストラクチャ(SIEM、Azure Storage)にエクスポートします — Entra ID Freeはサインインログを7日間、P1/P2は30日間保持します。後からライセンスをアップグレードしても、失効したログデータは復元されません。
  5. インシデント対応ランブックを更新し、クラウドIDプラットフォームの侵害シナリオを含めます。

同じパッチバッチ: 合計22件の更新

Microsoftは8月20日に22件のセキュリティ更新プログラムをリリースし、その中には他の複数のCVSS 10.0の脆弱性も含まれています:

  • CVE-2026-69851 — Entra IDの特権昇格(CVSS 10.0)
  • CVE-2026-65801 — Exchange Onlineの特権昇格(CVSS 10.0)
  • CVE-2026-69555、CVE-2026-65816 — Azure Arcの特権昇格(CVSS 10.0)
  • CVE-2026-65770 — Azure Managed Instance for Apache CassandraのRCE(CVSS 10.0)
  • Azure SQL Database、Microsoft Fabric、Azure Logic Apps、Azure Data Factoryの複数の脆弱性

これらはすべてサーバー側で修正され、顧客側の対応は不要です。

B2Bゲストユーザー向けパスキー登録とサインインが2026年10月に確定

Microsoftは、B2Bゲストユーザー向けのパスキー登録とサインインが既定で有効になり、2026年10月から2027年2月にかけて段階的に展開されることを確認しました。これにより、7月13日に内部ユーザー向けに発表されたパスキー既定化イニシアチブが、外部ユーザーとゲストユーザーにも拡大されます。

なぜ重要か

B2Bコラボレーションは、多くの組織がパートナー、サプライヤー、顧客と連携する上で中心的な役割を果たしています。これまでゲストユーザーは、MFAにSMS、音声、またはMicrosoft Authenticatorのプッシュ通知に依存してきました — これらの方法は廃止が予定されているか(SMS/音声は2027年2月までに廃止)、フィッシングに対して脆弱なままです。B2Bゲストへのパスキーサポート拡大は、以下を意味します:

  • ゲストユーザーがパスキーを登録し、リソーステナントのMFA要件を満たすために使用できる
  • フィッシング耐性のある認証が従業員だけでなく外部コラボレーターにも利用可能になる
  • 管理者の操作は不要 — この機能は既定で有効
  • より広範な認証モダナイゼーションのタイムラインと整合する:
    • 2026年9月1日: SMS/音声を使用する内部ユーザー向けにパスキーが既定になる
    • 2026年10月: B2Bゲスト向けパスキーサポートの展開開始
    • 2027年2月1日: Microsoft提供のSMS/音声が完全に廃止

推奨事項

  • B2Bゲストユーザー集団とその現在のMFA方法を確認する
  • パスキー登録が必要になる可能性のある外部コラボレーターに今後の変更を伝える
  • 新しいゲストユーザー向けのオンボーディング資料を更新し、パスキー登録について記載する
  • ゲストユーザーを対象とする条件付きアクセスポリシーを確認し、パスキー互換の認証強度要件を確保する

MC1456781: M365管理センターでのマルチテナントエージェント管理(パブリックプレビュー)

Microsoftは、Microsoft 365管理センターでのマルチテナントエージェント管理を発表しました。現在パブリックプレビューで提供されています(MC1456781)。この機能により、パートナーとエンタープライズ管理者は、接続された複数テナントにわたるAIエージェントを単一のエクスペリエンスから表示および管理できます。

これが解決する問題

組織がAIエージェント — Copilot Studioエージェント、カスタムエージェント、サードパーティ製エージェント — の利用を拡大するにつれ、複数テナントにわたる管理は現実的な運用上の課題となっています。数十の顧客テナントを管理するMicrosoftパートナーや、子会社テナントを持つエンタープライズは、これまでエージェントの確認、インストール、ブロックのために各テナントに個別にサインインする必要がありました。

機能

  • 接続/管理対象の全テナントにわたる統合エージェントインベントリ
  • インベントリへのカスタムエージェントの追加
  • 対象となる接続済みテナントの全部または選択したサブセットへのエージェントのインストール
  • 選択したテナントにわたるエージェントのブロックまたは利用可否の変更
  • テナント固有の権限の確認、およびライセンスがある場合のエージェントのリスクとアクティビティ分析情報
  • テナントスイッチャー — 別個の管理者アカウントを維持することなく、委任アクセスを通じて管理対象テナントに入る

要件

  • パートナー: Partner Centerで構成されたGDAP(委任されたきめ細かい管理特権)関係
  • エンタープライズ管理者: Microsoft Entra Tenant Governanceを通じて確立されたテナント関係
  • 管理者ロール: AI Administrator、Global Administrator、またはGlobal Reader(Global Readerは閲覧のみ)
  • ライセンス: 管理には追加ライセンスは不要。エージェントのリスクとアクティビティ分析情報を表示するにはMicrosoft Agent 365ライセンスが必要

展開スケジュール

パブリックプレビューの展開は2026年8月上旬に開始され、Worldwideテナントについては2026年8月中旬までに完了する見込みです。一般提供(GA)の時期はまだ発表されていません。

この機能は、2026年8月10日のEntra Tenant GovernanceのGAを補完するもので、Tenant Governanceの機能としてマルチテナントエージェント管理を導入したものです。M365管理センターのエクスペリエンスはこれを、日々のエージェント運用が行われる管理コンソールに拡張します。

GitHubフレキシブルフェデレーションID資格情報: 不変クレームが必須に

Microsoftは、Entra Workload Identity IDにおけるフレキシブルフェデレーションID資格情報のプレビュー資料を更新しました。2026年8月14日付の更新ガイダンスでは、構成がsubクレームに加えて、少なくとも1つの不変(イミュータブル)クレーム — repository_idまたはrepository_owner_id — と一致することが現在必須となっています。

変更内容

  • Portal、Microsoft Graph、CLIの例が不変リポジトリクレームを含むように更新された
  • サポートされる演算子: sub(eq、matches)、job_workflow_ref(eq、matches)、repository_id(eq)、repository_owner_id(eq)
  • 要件は、subが名前ベース、カスタマイズ済み、不変のいずれの形式を使用しているかに関係なく適用される
  • オプションのワークフロー照合がサポートされる

背景

これは、2026年8月5日のMC1447671移行通知を補完するもので、組織に対して2026年7月下旬までにGitHub ActionsフェデレーションID資格情報を不変のOIDCサブジェクト形式に移行するよう通知していました。その期限はすでに過ぎているため、影響を受けるデプロイメントを持つ組織は、トークンの不一致を回避し、不正アクセスのリスクを低減するために、構成を直ちに検証する必要があります。

この厳格化は、GitHubおよびGitLabのフェデレーション資格情報を強化するためのより広範なMicrosoftのガイダンス推進の一環であり、不変のサブジェクト識別子の使用、フェデレーションを組織全体ではなく特定のリポジトリ/ブランチに制限すること、CI/CDアプリケーションへの最小権限の適用を推奨しています。

Global Secure AccessのV1からV2へのWebフィルタリング移行ガイド

2026年8月15日に公開された新しいハウツー記事は、Microsoft Entra Global Secure AccessにおけるWebコンテンツフィルタリングポリシーのV1からV2へのガイド付き移行エクスペリエンスを文書化しています。

主要な詳細

  • 各V1ポリシーは、有効な1つのV2ポリシー内のルールになる
  • 移行中、宛先、アクション、優先順位は保持される
  • すでにV2ポリシーを含むプロファイルは手動での対応が必要
  • 複数のセキュリティプロファイルにわたる評価動作はV1とV2で異なる — 管理者は複数のセキュリティプロファイルが関与する場合にポリシーがどのように相互作用するかを確認すべき
  • 対象となるセキュリティプロファイルと対象外のセキュリティプロファイルがガイドに文書化されている

GSA Webフィルタリングを使用している組織は、V1ポリシーが廃止される前に、V1からV2への移行を計画するためにこの移行ガイドを確認する必要があります。

追加のドキュメント更新(2026年8月15〜18日)

今週は、新機能を導入するのではなく既存の動作を明確にする、いくつかのドキュメント更新が公開されました:

  • 認証強度ポリシーはMSAで認証された外部ユーザーには適用できない — 更新されたガイダンスは、認証強度ポリシーがMicrosoft個人(MSA)アカウントを通じて認証する外部ユーザーには現在適用できないことを明確にしています。管理者は代わりにMFA許可コントロールを使用する必要があります。

  • ID Protectionのデバイスブロック修復動作が明確化 — Entraデバイスを無効にすると、新しいトークンの発行がブロックされ、ユーザーセッションが取り消され、ユーザーに再サインインが求められます。デバイスバインド更新トークンの取り消しに言及していた以前のドキュメントは削除されました。

  • Entra Domain ServicesとのsAMAccountName同期 — Microsoft Entra Domain ServicesとのsAMAccountName同期に関する拡張サポートが文書化され、専用のガイダンスへのリンクが提供されています。

  • ライセンスリファレンスにWindows 10 ESU識別子が追加 — Entra IDライセンスのサービスプランリファレンスに、2つのWindows 365プランエントリのWindows 10延長セキュリティ更新プログラム(ESU)のサービスプラン識別子が追加されました。

主要なポイント

  1. CVE-2026-69836は悪用されていなかった — Microsoftは悪用状況を修正しましたが、CVSS 10.0の評価と認証不要のゼロクリック性は、これを重要な開示にしています。予防措置として、8月20日より前の30日間のEntra IDログを確認してください。

  2. B2Bパスキーが10月に登場 — ゲストユーザーは、管理者の操作なしにフィッシング耐性のある認証を利用できるようになります。これを外部コラボレーターに伝え、ゲストのオンボーディング資料を更新してください。

  3. マルチテナントエージェント管理が登場 — パートナーとマルチテナントのエンタープライズは、単一のM365管理センタービューからエージェントを管理できるようになりました。プレビューを活用するためにGDAP構成とロール割り当てを確認してください。

  4. GitHubフェデレーション資格情報には不変クレームが必要 — まだGitHub ActionsフェデレーションID資格情報を不変のサブジェクト形式に移行していない場合は、今すぐ行ってください。期限はすでに過ぎています。

  5. GSA V2移行ガイダンスが利用可能 — Global Secure AccessのWebフィルタリングを使用している場合は、V1からV2への移行ガイドを確認して移行を計画してください。

Microsoft Entra IDのアップデートに関する継続的なカバレッジについては、Xでhttps://x.com/kkaminskをフォローし、MicrosoftのIDプラットフォームの変化に関する定期的な分析をここでご確認ください。