Microsoftは2026年8月6日、月例のPatch Tuesday（同年8月12日予定）とは別に、Active Directory・Azure・Entra・SharePoint・Teamsなど広範な製品にまたがるセキュリティ更新を公開しました。このうち3件はCVSSスコアの最大値である10.0と評価されており、さらに4件が9.9と、極めて深刻度の高い脆弱性が集中しています。同じ週にApple も、macOSの画面共有機能における認証回避の脆弱性を修正するセキュリティ更新を公開しています。
この記事のサマリー
- Microsoftは2026年8月6日、Active Directory・Azure・Entra・SharePoint・Teamsなどにまたがる十数件の脆弱性を修正するセキュリティ更新を公開しました。これは8月12日に予定されている月例のPatch Tuesdayとは別の更新です。
- このうち3件はCVSSスコアの最大値10.0と評価されています。CVE-2026-63508（Planetary Computer Proにおける認証の欠如）、CVE-2026-56162（Azure SQL Databaseにおける不適切な認証）、CVE-2026-65667（Teamsにおける認可の欠如）で、いずれも権限昇格につながり、ネットワーク経由で悪用可能とされています。
- さらに4件がCVSSスコア9.9（緊急）と評価されています。CVE-2026-50515（Azure Service BusのRCE）、CVE-2026-62830（Azure SRE Agentの権限昇格）、CVE-2026-59115（Entra Provisioning Serviceの権限昇格）、CVE-2026-50481（Azure Active Directoryの権限昇格）です。
- クラウドサービス側の脆弱性については、Microsoftが顧客側での対応を必要とせずクラウド基盤側で修正を完了させている場合でも、透明性確保の目的でCVE番号を公開しているケースがあります。CVEが公開されているからといって、必ずしも顧客側でのパッチ適用作業が必要とは限らない点に留意してください。
- Appleは同じ週の木曜日（8月6日）、macOSの画面共有（Screen Sharing）機能に存在する認証回避の脆弱性CVE-2026-65400（CVSSスコア7.5）をセキュリティ更新で修正しました。ネットワーク上の攻撃者が、正規の認証情報なしに画面共有機能へ認証できてしまう可能性があるとされています。
整理表
| CVE番号 | 対象 | 種別 | CVSS | 悪用条件 |
|---|---|---|---|---|
| CVE-2026-63508 | Planetary Computer Pro | 権限昇格（認証の欠如） | 10.0 | ネットワーク経由で悪用可能 |
| CVE-2026-56162 | Azure SQL Database | 権限昇格（不適切な認証） | 10.0 | ネットワーク経由で悪用可能 |
| CVE-2026-65667 | Teams | 権限昇格（認可の欠如） | 10.0 | ネットワーク経由で悪用可能 |
| CVE-2026-50515 | Azure Service Bus | リモートコード実行（信頼できないデータのデシリアライゼーション） | 9.9 | 認証済みの攻撃者がネットワーク経由でコードを実行可能 |
| CVE-2026-62830 | Azure SRE Agent | 権限昇格（認可の欠如） | 9.9 | 認証済みの攻撃者がネットワーク経由で権限を昇格可能 |
| CVE-2026-59115 | Microsoft Entra Provisioning Service（SyncFabric） | 権限昇格（パストラバーサル） | 9.9 | 認証済みの攻撃者がネットワーク経由で権限を昇格可能 |
| CVE-2026-50481 | Azure Active Directory（Entra ID） | 権限昇格（不変とみなされるデータの改変） | 9.9 | 認証済みの攻撃者がネットワーク経由で権限を昇格可能 |
| CVE-2026-65400 | macOS（画面共有機能） | 認証回避 | 7.5 | ネットワーク上の攻撃者が認証情報なしに画面共有へアクセス可能 |
Microsoftが修正した脆弱性の内容
今回Microsoftが公開したセキュリティ更新は、Windows等のクライアントOSを対象とした月例のPatch Tuesday（次回は2026年8月12日予定）とは別に、Active Directory・Azure・Entra・SharePoint・Teamsといった製品群にまたがる脆弱性を修正するものです。
最も深刻度が高いのは、CVSSスコアの最大値である10.0と評価された3件です。CVE-2026-63508はPlanetary Computer Proにおける認証の欠如に起因する脆弱性、CVE-2026-56162はAzure SQL Databaseにおける不適切な認証に起因する脆弱性、CVE-2026-65667はTeamsにおける認可の欠如に起因する脆弱性で、いずれも権限昇格につながり、ネットワーク経由で悪用可能とされています。
これに次いで、CVSSスコア9.9（緊急）と評価された4件も、いずれもリモートから悪用可能とされています。CVE-2026-50515は、Azure Service Busにおいて信頼できないデータのデシリアライゼーション処理に起因するリモートコード実行の脆弱性で、認証済みの攻撃者がネットワーク経由でコードを実行できる可能性があります。CVE-2026-62830は、Azure SRE Agentにおける認可の欠如に起因する権限昇格の脆弱性です。CVE-2026-59115は、Microsoft Entra Provisioning Service（SyncFabric）において、ディレクトリを遡る形式のパス（パストラバーサル）を悪用することで権限を昇格できる脆弱性です。CVE-2026-50481は、Azure Active Directory（Entra ID）において、本来不変であるべきデータが改変可能な状態になっていたことに起因する権限昇格の脆弱性です。
このほか、情報漏えい、リモートコード実行、権限昇格、なりすましにつながる、緊急・重要度の脆弱性も複数修正されています。今回の更新は、Office、365 Apps for Enterprise、Edge、Azure Cosmos DBに関する20件超の修正が行われてから1週間後の公開であり、Microsoft製品群にわたるセキュリティ更新が高い頻度で続いていることがうかがえます。
クラウド側の脆弱性は顧客側の対応が不要な場合もある
今回公開された脆弱性の多くはAzure・Entraなどクラウドサービス側のコンポーネントに関するものです。Microsoftは、クラウド基盤側で既に修正を完了させており、顧客側での操作を必要としない脆弱性についても、透明性確保の観点からCVE番号を採番・公開する運用を行っています。したがって、CVEが公開され、CVSSスコアが高いことをもって、直ちに自社側でのパッチ適用作業が必要だと判断するのは早計です。各CVEの詳細（Microsoft Security Response Centerの更新ガイド）を確認し、顧客側の対応が必要な項目か、Microsoft側で完結する項目かを区別して優先順位をつけることをおすすめします。
Appleが修正した画面共有の認証回避
Appleは同じ週の木曜日（8月6日）、macOSの画面共有（Screen Sharing）機能に存在する認証回避の脆弱性CVE-2026-65400（CVSSスコア7.5）をセキュリティ更新で修正しました。Apple自身の説明によると、ネットワーク上の攻撃者が、正規の認証情報を持たない状態でも画面共有機能へ認証できてしまう可能性があるとされています。この修正は、macOS Tahoe 26.6.1、macOS Sequoia 15.7.9、macOS Sonoma 14.8.9に対して提供されています。
情報システム部門が確認すべき対策ポイント
- Planetary Computer Pro、Azure SQL Database、Teams、Azure Service Bus、Azure SRE Agent、Microsoft Entra Provisioning Service（SyncFabric）を利用している場合、自社のテナントに今回の脆弱性が影響していないか、Microsoft Security Response Centerの更新ガイドで各CVEの詳細を確認してください。
- 各CVEについて、顧客側でのアップデート作業が必要な項目か、Microsoft側のクラウド基盤で既に対応が完了している項目かを区別し、対応が必要な項目を優先してください。
- Entra ID（旧Azure AD）やTeamsなど、認証・認可に関する権限昇格の脆弱性が複数公開されている状況を踏まえ、特権アカウント・管理者ロールの棚卸しと、最小権限の原則に沿った権限設定を定期的に見直してください。
- macOSで画面共有機能を業務に利用している場合、対象バージョン（macOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9）へ速やかにアップデートしてください。業務上使用する必要がない場合は、機能自体を無効化することも有効な対策です。
- 2026年8月12日に予定されている月例のPatch Tuesdayについても、あわせて対応を計画してください。直近の月例パッチでは、2026年7月に過去最多となる569件の脆弱性が修正されるなど、修正件数の高止まりが続いています。詳細はMicrosoft、2026年7月定例パッチで史上最多569件の脆弱性を修正-AD FSとSharePointの2件がゼロデイ攻撃で悪用済みをご参照ください。
今後注目すべき点
本記事執筆時点で、今回修正された脆弱性の実際の悪用は報告されていません。今後は以下の点が焦点になると考えられます。
- 2026年8月12日に予定されている月例Patch Tuesdayの修正件数・深刻度
- 今回のCVSS10.0の3件を含む脆弱性を悪用した攻撃の有無
- Microsoft・Appleそれぞれの追加のセキュリティ更新の有無
出典
Microsoft, Apple Release Fresh Security Updates——SecurityWeek
Apple security releases——Apple Support
Microsoft、2026年7月定例パッチで史上最多569件の脆弱性を修正-AD FSとSharePointの2件がゼロデイ攻撃で悪用済み——セキュリティ対策Lab
関連記事
Microsoft Entra「Agent ID Administrator」ロール 範囲逸脱でテナント全体の乗っ取りが可能-AIエージェント管理ロールがService Principal奪取の踏み台に
Spring SecurityとSpring WSがXSS・SSRF・XXE・BSP検証バイパスを含む複数の脆弱性を修正(CVE-2026-41003,CVE-2026-40999)他
【2026年】サイバー攻撃・情報漏洩の最新 事例
ビジネスメール詐欺（BEC）・ニセ社長詐欺 不正送金被害まとめ-はてななど上場企業関連9社とLINE誘導型詐欺含む21件・被害総額約22億740万円超【2026年最新版】
WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)
Apple、iOS 26.6に87件・macOS Tahoe 26.6に155件の脆弱性修正-リモートカーネルメモリ破壊とroot権限昇格に注意
サイバー攻撃の事例を解説
Linuxカーネルの脆弱性 DirtyClone(CVE-2026-43503)でroot権限奪取が可能-JFrogがPoCを公開
Oracleが2026年5月の定例パッチを公開-致命的な脆弱性 CVE-2026-46840など35件を修正
