Microsoft、Entra IDの深刻な脆弱性を修正 – 最高評価のエクスプロイトが発見される

IT管理者としては、これは本当に怖い話です。Microsoftは、Entra ID（旧Azure Active Directory）に存在していた極めて危険な脆弱性を修正しました。その危険性はCVSS評価で最高の「10.0」を記録しており、まるで「想像していた以上に最悪な状況」と言っても過言ではありません。
この脆弱性はセキュリティ専門家のSemperisによって発見されたもので、具体的には「Authentication Bypass（認証のバイパス）」と呼ばれるタイプの欠陥です。簡単に言えば、攻撃者が正規ユーザーになりすまし、特別なハードルを経ることなく機密データやシステムへの不正アクセスが可能だったというものです。つまり、ユーザーの操作を一切必要としない「Zero-Click攻撃」であったわけです。
この脆弱性の仕組みとその危険性
通常、企業のネットワークにアクセスする際には「デジタル回転扉のチケット（トークン）」が発行されます。このトークンはMicrosoftの認証サービスによって発行され、有効であることが確認されます。しかし、この脆弱性により、攻撃者はこの「回転扉のチケット」を偽造することができました。システムは正常なトークンと見分けがつかず、そのまま通過を許可してしまったのです。
偽造されたトークンが悪用されると、以下のような深刻な被害が発生する可能性がありました。
- ネットワーク内の横方向の移動：一度アカウントが乗っ取られると、攻撃者は侵入者が家の中で部屋から部屋へと進むように、ネットワーク内を自由に移動できます。
- データの窃取：ユーザーデータ、メール、機密文書など、保護されていない情報が危険にさらされます。
- ランサムウェアの感染：Entra IDを制御下に置くことで、サイバー犯罪者はバックアップを改ざんしたり、暗号化型ランサムウェアを拡散させたりすることも可能でした。
Microsoftは、この脆弱性が公になる前に修正を完了しており、現時点では実際の野放し環境での悪用の痕跡は確認されていません。これは一見良いニュースですが、同時に「どれだけ早くこのような脆弱性が見つかるかわからない」という現実を突きつけています。
Microsoftの対応策と企業が取るべきアクション
Microsoftは、月例のパッチプログラム（Patch Tuesday）の一環としてセキュリティアップデートをリリースしました。特に影響を受けるのは、Entra IDを多要素



認証（MFA）、シングルサインオン（SSO）、またはID管理に利用している企業です。つまり、すぐにでもアップデートを実施する必要があります。
しかし、それだけでは不十分です。専門家は以下の追加対策を推奨しています。
1. ログの確認：不審なログイン試行や奇妙なトークンの活動がないか確認しましょう。
2. 条件付きアクセスポリシーの導入：システムへのアクセスをさらに制限する、いわば「追加のセキュリティゲート」を設置します。
3. 定期的な監査：独立した専門家によるシステムの検査を実施し、同様の脆弱性を早期に発見します。
4. Microsoft Defender for Identityの活用：このツールは不審な挙動を検知し報告する、いわば「アイデンティティ盗難に対する早期警戒システム」です。
CVSS評価10.0の重大性について
評価10.0は最高の危険度を示し、その意味は「極めて簡単に悪用でき、専門知識もほとんど必要とせず、かつ影響が最大級」ということです。参考までに、悪名高いLog4j脆弱性（CVE-2021-44228）も同様に10.0の評価を受けており、世界中に大きな衝撃を与えました。これらの脆弱性に共通するのは、いずれも「アイデンティティ」を狙った攻撃であり、アイデンティティがITインフラの中核であるということです。
この事例から学ぶべき教訓
この事件は、クラウドセキュリティに対する警鐘です。アイデンティティ盗難は企業にとって最大の脅威の一つであり、Entra IDの脆弱性はその典型例と言えます。Microsoftが迅速に対応したとはいえ、依然として「他にも未発見の脆弱性が潜んでいるのではないか？」という疑問が残ります。
企業はパッチを待つだけでなく、自ら積極的に以下の対策を講じるべきです。
- 最初からセキュリティを考慮する：問題が発生してからではなく、システム設計の段階からセキュリティを組み込みます。
- 定期的なテスト：システムが本当に安全かどうか、継続的にテストします。
- 従業員の教育：システムの脆弱性を突くのは、システムそのものよりも人間であることが多いため、従業員へのセキュリティ教育が重要です。
Entra IDの脆弱性は今では修正されましたが、この事件は私たちに「クラウド化が進む現代において、セキュリティはもはやオプショナルなものではなく、必須の要件である」ということを再認識させてくれます。常に警戒を怠らず、安全なIT環境を維持していきま