Azure AI Foundry、特権昇格に認証情報が不要だった — CVE-2026-85889、CVSS 10.0

Microsoftは2026年9月17日、次のように公表した。Azure AI Foundry（生成AIアプリケーションおよびエージェントの構築・展開・管理を行う企業向けプラットフォームで、Microsoft Foundryとしても販売されている）には、CVSS 10.0（最大値）と評価された認証欠如の脆弱性が存在していた。追跡番号はCVE-2026-85889で、CWE-306（重要な機能に対する認証欠如）に分類される。この脆弱性により、未認可の攻撃者が認証情報もユーザー操作もなしにネットワーク経由でバックエンド機能に到達し、権限を昇格できる可能性があったとMicrosoftの勧告は述べている。このプラットフォームはクラウドホスト型であるため、修正はMicrosoft自身のインフラストラクチャに適用され、顧客側でインストールする必要はなかった。Microsoftは、この脆弱性が実際に悪用された証拠は見つかっておらず、それによる被害も記録されていないと述べている。このインシデントはthe Orca AI Incident Archiveの1件であり、同アーカイブには引用元、重大度評価、信頼度評価、異議ありフラグを含む完全な記録が収められている。

その勧告が実際に述べていること

このMicrosoft Security Response Centerのアドバイザリは短く、この脆弱性について公開されている詳細のほとんどは、このアドバイザリに由来しています。その説明は全文次のとおりです：「Azure AI Foundry の重要な機能における認証の欠落により、未認証の攻撃者がネットワーク経由で特権を昇格できるようになります」。影響を受けるバージョンはありません。バージョンが存在しないからです。CVE-2026-85889 に関する MSRC の記録では、最新のソフトウェアリリースが N/A と記載され、更新リンクやダウンロードもありません。これは、Microsoft が自社で運用するサービスに関するアドバイザリの通常の形です。

MSRCはこの脆弱性をCritical、基本スコア10.0と評価しており、ベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hです。これはネットワーク経由で到達可能で、攻撃の複雑さは低く、権限は不要、ユーザー操作も不要、スコープは変更され、機密性・完全性・可用性への影響は高いことを示します。2026年9月17日に公開され、9月25日に最終更新されたNVDエントリは同じ説明を掲載し、この弱点をCWE-306にマッピングしています。「Exploited」および「Publicly Disclosed」フィールドでは、MicrosoftはNoおよびNoと記録しています。

この欠陥を発見したのはRémy Marotで、The Hacker Newsの開示に関する記事でクレジットされ、Cloud Security Allianceのリサーチノートでは責任ある報告を行った人物として名指しされている。2026年9月19日に公開されたそのノートは、勧告が省いている事柄を検討している記録上唯一の情報源であり、その空白を物語の核心として扱っている。

10.0と9.8 — 2人の採点者が唯一意見を異にする指標

見出しの数値は全会一致ではない。NVDはCVE-2026-85889について、異なる2人の採点者による2つのCVSS 3.1スコアを示しており、それらはちょうど1つの指標だけ異なっている。二次情報源として登録されたMicrosoftのスコアは、AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hで10.0。NVD自身の一次スコアは、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hで9.8。Scope以外のすべての構成要素は同一である。

Microsoft はスコープを「変更あり」と評価し、NVD の主要スコアでは「変更なし」のままです。違いはまさにそこだけであり、これは揚げ足取りではありません。CVSS 3.1 では、スコープが「変更あり」であるとは、脆弱なコンポーネントと影響を受けるコンポーネントが異なるセキュリティ権限に属する、つまり攻撃者の足場と、最終的に攻撃者が制御する対象が境界の反対側にあることを意味します。10.0 は、その境界を越えることがこの脆弱性の本質だという主張です。NVD の 9.8 は、影響、機密性、完全性、可用性がすべて High であるという同じ内容を述べていますが、境界越えを主張してはいません。両スコアとも Critical です。アーカイブはこの差を、脆弱性が存在したか、修正されたかについての論争とは扱っておらず、読者もそう扱うべきではありません。

3人目の評価者は、スコアには触れずに結果の面でさらに踏み込んだ。CISAの、このCVEに関するSSVC決定記録は、2026年9月18日のタイムスタンプが付されており、悪用を「none」、自動化可能性を「yes」、技術的影響を「total」に設定している。中間の値にこそ、じっくり向き合う価値がある。認証不要で複雑度が低く、スコープを変更する脆弱性は、構造上自動化可能であり、標的ごとに人間が適応させる必要は何もない。

どの顧客もインストールできなかった修正プログラム

Azure AI Foundryはホステッドサービスであるため、CVE-2026-85889には顧客名が付いたパッチが存在したことはありません。MSRCのアドバイザリには更新プログラムの記事も回避策もなく、当然の疑問に対して自らのFAQで次のように答えています。「この脆弱性はMicrosoftによってすでに完全に緩和されています。このサービスの利用者が講じる必要のある措置はありません。このCVEの目的は、さらなる透明性を提供することです。」

Cloud Security Allianceの注記は同じ状況を説明している。修復はMicrosoftのインフラストラクチャに適用され、「顧客にはインストールすべきパッチも、取るべき対応もなかった」。The Hacker Newsは、Microsoftがクラウドの問題を完全に緩和したと述べ、顧客による対応は不要だったと報じている。Microsoft自身の記録では「customer action required」がfalseとされている。時期について、MSRCは勧告を2026年9月17日付としている。CSAの注記では、勧告と修復完了が2026年9月17日から18日にまたがるとされている。

これがCSAの注記が繰り返し立ち返る点であり、Microsoftのエンジニアリングを批判するものではない。サーバー側の修正は迅速で完全かつ顧客にとって無償である。また、顧客側からは観測できない。

マイクロソフトが言わなかったこと

Cloud Security Allianceによると、この勧告には脆弱性がいつ導入されたかが記載されておらず、またこの注記は露出期間を定量化していない。Microsoftも、脆弱な関数にどのように到達できたのか、どの種類の資格情報が関与したのか、それを突くためにテナント固有の識別子が必要だったのか、クロステナントアクセスが可能だったのかを開示していない。これらは報告の不足ではない。これらは、CSAの注記がMicrosoftによって未解決のままにされたと明示している問題であり、CSAはクロステナントに関する問題を、あらゆる顧客のリスク評価に関係するものとして挙げている。

この注記が導く結論は限定的であり、誇張せずに述べておく価値がある。悪用が完全にサーバー側で行われる場合、顧客側からはまったく見えない可能性がある。テナント管理者は、自分のプロジェクトが探索されていたとしても、参照できるログ行が一つもなかったかもしれない。CSA が推奨する対応は事後的なものである。2026年9月17～18日より前の数週間について Azure アクティビティログと AI Foundry 監査証跡を調査し、異常な管理操作、モデルまたはエージェントの構成変更、サービスアカウントの異常なアクセスがないか確認し、クロステナントアクセスが技術的に可能だったかどうかを Microsoft に直接尋ねることだ。

この勧告自体には報告者の氏名も脆弱性が報告された日付も記載されておらず、NVDの記録にも記載がない。したがって、Marotの報告から修正までの間隔は、この記録からは何も確認できない。

それを取り巻く波

CVE-2026-85889 は孤立した修正ではありませんでした。Microsoft のセキュリティ更新ガイドには、2026年9月17日に公開された18件の脆弱性が掲載されており、このグループの構成こそがより示唆に富む事実です。18件すべてが Critical です。すべてがクラウド サービスです。すべてが悪用されていない、および顧客による対応を必要としないと記録されています。18件のうち7件が10.0のスコアです — Azure Billing、Microsoft Fabric、Azure AI Foundry、Azure Logic Apps の2件、Azure Arc、Microsoft Container Registry です。

この波の中の対比は、見出しを読むうえで重要だ。CVE-2026-85885におけるコマンドインジェクションMicrosoft 365 Copilotで、9.9、PR:L — 特権が必要 — と採点され、Microsoftの説明では「認可された攻撃者」とされている。CVE-2026-85889はPR:Nで、「認可されていない攻撃者」とされている。同じリリースの2つの脆弱性、2つのCriticalスコア、そして攻撃者が開始前に資格情報を保有している必要があったのは、そのうち1つだけだった。グループ内の3つ目のAIに関する指摘であるCVE-2026-85917は、Azure AI Foundryにおけるサーバーサイドリクエストフォージェリで、7.5、スコープは変更なし、影響は機密性に限定されると採点されている。

何が変わり、顧客が引き続き保有できるものは何か

変わったのは脆弱性そのものです。Microsoft は完全に緩和済みと報告しており、顧客側で展開すべきものは何もありません。変わらなかったのは、顧客が保持できる記録です。CSA の推奨事項は、喫緊の対応から構造的な対応まで多岐にわたります。2026年9月の修正がテナントに到達したことを確認する。その数週間前のアクティビティ ログと AI Foundry の監査証跡を保存し、レビューする。AI Foundry プロジェクトをテナントとワークロードごとにセグメント化する。ユーザー、サービス プリンシパル、マネージド ID に最小特権を適用する。単一のプロジェクトが到達できるデータと資格情報を制限する。AI Foundry と Microsoft Defender for Cloud のアラートを一元化する。

その構造的な提言は、このCVEを超えて一般化できるものだ。クラウドAIの管理プレーンを独立した第三者リスクカテゴリーとして扱い、ベンダー評価に各プロバイダーの脆弱性開示履歴を含め、コントロールプレーンの欠陥について契約上の通知期限とインシデント後の透明性を求める、というものである。これらのいずれも、CVE-2026-85889を生き延びるために必要だったわけではない。次なる脆弱性を可視化するのは、こうした措置である。

アーカイブがこれをどう分類するか

このレコードは脆弱性として登録されている。発見されたものであり、悪用が確認されたものではない。信頼度はAと評価されており、一次情報源が一致する十分な文書化がなされていることを意味し、レコードは異議ありとはされていない。「実害」フィールドはfalseで、AIの関与は確認済みである。影響を受ける製品は生成AIアプリケーションおよびエージェントプラットフォームであり、たまたまそれに近接する汎用クラウドサービスではない。日付は日単位の精度で2026年9月17日と記録され、終了日はない。これはキャンペーンではなく単一時点であるためである。

アーカイブ自身のフィールドでは伝えきれない唯一の点は、この話のどれほど多くが「不在」によって成り立っているかということだ。企業顧客がエージェントを構築・実行するために使うプラットフォームに、最大深刻度の認証脆弱性がある。修正もある。研究者の名前もある。ないのは——アドバイザリ、NVDの記録、CSAの注記、業界紙のどこにも——誰かがこの脆弱性を試したという記述、それがどのくらいの期間到達可能だったかという記述、顧客が自分で確認するための方法だ。