nexsight cyber intelligence / signal online wire desk · issue 634
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITY / MICROSOFT AZURE

Microsoftの9月更新、Azure関連の脆弱性3件を修正 — Spring Cloud Azureの権限昇格はCVSS 9.0、修正版は7.4.0

Microsoftは2026年9月の月例セキュリティ更新で、Azureに関連するコンポーネントの脆弱性も修正した。Java向けライブラリ「Spring Cloud Azure」の権限昇格はCVSS 9.0（Critical）で、他テナントのトークンを使ったマルチテナントアプリへの不正サインインが可能になる。Azure ArcのSQL Server拡張は8.8、Azure CycleCloudは7.7で、いずれもMicrosoftは修正版への更新を案内している。

脆弱性 NEXSIGHT CYBER WIRE 編集部 5–6 min read
攻撃手法
ソフトウェア

Microsoftは2026年9月の月例セキュリティ更新で、Azureに関連するコンポーネントの脆弱性も修正した。このうち重要度が高い3件は、Java向けライブラリ、オンプレミス側で動く拡張機能、クラウド上で利用者が管理するソフトウェアという、いずれも利用者側で更新が必要なコンポーネントに関わるものだ。Microsoftは各修正版への更新を案内している。3件はいずれも、Microsoftの記載では**公開・悪用ともに「No」**である。

日本でもMicrosoft Azureを利用する企業や自治体は多い。JavaアプリケーションでSpring Cloud Azureを使う開発チーム、Azure ArcやAzure CycleCloudを運用するチームは、利用中のバージョンをMicrosoftの案内と突き合わせて確認しておきたい。

要点

  • Spring Cloud Azureの権限昇格（CVE-2026-69854） はCVSS 3.1の基本値が9.0で、Microsoftの深刻度はCritical。修正版は7.4.0である。
  • Azure ArcのSQL Server拡張の権限昇格（CVE-2026-62895） はCVSS 8.8、深刻度はImportant。修正版は1.1.3518.465以降である。
  • Azure CycleCloudの情報漏えい（CVE-2026-77909） はCVSS 7.7、深刻度はImportant。修正版は8.9.2である。
  • オランダの国家サイバーセキュリティセンター（NCSC-NL）は、これらのAzure関連の脆弱性について9月8日に勧告を公開し、9月14日に更新している。

Spring Cloud Azureの権限昇格（CVE-2026-69854、CVSS 9.0）

Microsoftの脆弱性情報によると、CVE-2026-69854はSpring Cloud Azureの認証処理の不備（Improper Authentication）で、認証されていない攻撃者がネットワーク経由で権限を昇格できる。Spring Cloud Azureは、Javaのアプリケーションフレームワーク「Spring」からAzureのサービスを利用するためのライブラリ群である。

Microsoftが示した攻撃シナリオは次のとおりだ。攻撃者は、自分が管理するテナントが発行したIDトークンを使い、影響を受けるマルチテナントアプリケーションにサインインする。成功すると攻撃者は認証済みセッションを取得し、本来は許可されていないテナントから、保護されたデータの閲覧や認証済み利用者が実行できる操作に到達しうる。Microsoftによれば、この攻撃に利用者の操作は必要ない。

CVSSのベクターはAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:Cで、Microsoftは攻撃の複雑さが高い（AC:H）理由を「攻撃が成立するには特定の条件（プロトコル設定や構成など）が満たされている必要があり、広範囲・場当たり的な悪用の可能性は下がる」と説明している。また、影響が他のコンポーネントにも及ぶことを示すS:C、悪用が実証されていないことを示すE:Uが付いている。

Microsoftは修正版をSpring Cloud Azure 7.4.0としており、リリースノート（GitHubの spring-cloud-azure_7.4.0 リリース）とMavenのアーティファクト spring-cloud-azure-starter-active-directory 7.4.0を案内している。

Azure ArcのSQL Server拡張の権限昇格（CVE-2026-62895、CVSS 8.8）

CVE-2026-62895はAzure ArcのSQL Server拡張に関する権限昇格で、CVSS 3.1の基本値は8.8、深刻度はImportantである。原因は信頼できないドメインを許可するクロスドメインポリシーの設定（Permissive Cross-domain Policy with Untrusted Domains）だ。

Microsoftが説明する攻撃の流れは、攻撃者が細工したウェブサイトを用意し、利用者にそのサイトを閲覧させるというものだ。利用者がそのサイトを訪れると、サイトから影響を受ける端末上でローカルに動作するサービスへリクエストが送られ、結果として攻撃者は昇格した権限でコマンドを実行できる。Microsoftは認証は不要だが、利用者が攻撃者の用意したサイトを閲覧することが前提で、成功した場合はSYSTEM権限を取得しうると記載している。

修正について、Microsoftは「セキュリティ修正を含む最初のAzure拡張 for SQL Serverはバージョン1.1.3464.439だったが、このバージョンは現在入手できない」と説明し、1.1.3518.465以降への更新を求めている。拡張の更新は累積的なので、それ以降のバージョンにも修正が含まれるとしている。Microsoftはあわせて、拡張のアップグレード手順（Microsoft Learn）を案内している。

Azure CycleCloudの情報漏えい（CVE-2026-77909、CVSS 7.7）

CVE-2026-77909はAzure CycleCloudの情報漏えいで、CVSS 3.1の基本値は7.7、深刻度はImportantである。原因は資格情報の保護が不十分（Insufficiently Protected Credentials）で、Microsoftによれば認証済みの攻撃者がネットワーク経由で情報を取得でき、漏えいする可能性がある情報には資格情報が含まれる。

修正版はAzure CycleCloud 8.9.2で、Microsoftはリリースノート（8.9.2）とアップグレード・移行の手順を案内している。

利用組織が確認すべきこと

Microsoftは3件すべてで、修正版への更新と、コンポーネントごとのアップグレード手順を公表している。対応の起点は、自組織が使っているバージョンの確認だ。

  • Spring Cloud Azureを利用するJavaアプリ: 依存関係として取り込んでいるSpring Cloud Azureのバージョンを確認し、Microsoftが示す7.4.0を基準に更新を検討する。
  • Azure Arc経由でSQL Serverを管理している環境: SQL Server向けAzure拡張のバージョンを確認し、Microsoftが案内する1.1.3518.465以降へ更新する。
  • Azure CycleCloudを運用している環境: バージョンを確認し、8.9.2への更新と、Microsoft Learnのアップグレード手順を確認する。

3件とも、Microsoftの記載では悪用（Exploited）はNoである。なおCVE-2026-69854についてMicrosoftは、最新ソフトウェアリリースにおける悪用可能性を「Exploitation More Likely（悪用される可能性がより高い）」と評価している。NCSC-NLは9月14日にAzure関連の勧告を更新しており、利用者は修正版の適用状況をあらためて確認しておきたい。

出典: Microsoft Security Response Center「September 2026 Security Updates」（CVRF 2026-Sep、2026年9月8日公開）および各CVEの脆弱性情報

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。