Azure App Service の権限昇格（Microsoft評価10.0・サービス側で修正済みのため利用者の作業は無い）

Critical（CVSS 9.8）に分類されるMicrosoft Azure App Serviceの脆弱性です。Microsoft のマネージドサービス Azure App Service にアクセス制御の不備があった。NVD の記述は「Improper access control in Azure App Service allows an unauthorized attacker to elevate privileges over a network.」で、権限を持たない攻撃者がネットワーク越しに権限を昇格できる、というものである。CWE は CWE-284（不適切なアクセス制御）。CVSS は評価元で割れており、NVD 自身（Primary, nvd@nist.gov）が 9.8 Critical でベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H、Microsoft（CNA）は 10.0 Critical でベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N、時間評価は E:U/RL:O/RC:C である。違いはスコープと可用性の見方で、Microsoft はスコープ変更あり（S:C）かつ可用性への影響なし（A:N）と見ており、NVD はスコープ変更なし（S:U）で可用性まで High と見ている。どちらの評価でも Critical であることは一致している。**表題の範囲が NVD と MSRC で食い違う点は認識しておく必要がある**。MSRC 側の表題は「Azure App Service on Azure Stack Hub Elevation of Privilege Vulnerability」で Azure Stack Hub 上の App Service を指しているが、NVD の CPE は cpe:2.3:a:microsoft:azure_app_service_for_linux のみである。MSRC の記載では公開時点で悪用は確認されておらず（exploited: No）、一般公開された情報開示も無い（publiclyDisclosed: No）。公開は 2026年7月23日（リビジョン1のみ）。NVD の vulnStatus は Analyzed で、最終更新は 2026年8月6日。2026年8月17日時点で CISA KEV カタログには収載されていない（カタログ版 2026.08.14 で確認）。

この CVE で利用者がパッチを当てる作業は無い。MSRC の FAQ は「この脆弱性は Microsoft によって既に完全に緩和済みであり、このサービスの利用者が取るべきアクションは無い。この CVE の目的は透明性の向上である」と明記しており、API の customerActionRequired も false である。Microsoft がクラウドサービス側の欠陥にも CVE を採番して公開する方針（Toward greater transparency: Unveiling Cloud Service CVEs）に沿って出された1件で、修正はサービス側で完了している。したがって運用側の作業は更新ではなく記録と確認の側にある。第一に、資産管理表やベンダー脆弱性一覧に「Critical・未対応」として残さないこと。CVSS 10.0 という数字だけが台帳に残ると、対応不能な赤が延々と居座り、本当に手を動かすべき項目が埋もれる。サービス側修正済みという扱いで閉じるのが正しい。第二に、対象範囲の食い違いを自分の環境に当てて確認する。MSRC の表題は Azure Stack Hub 上の App Service を指しているので、**オンプレの Azure Stack Hub を運用しているなら、そのスタンプの更新状況を Microsoft の案内に沿って確認する**。パブリックな Azure App Service だけを使っているなら、サービス側で完結している。第三に、App Service の権限まわりを普段どおり点検する。具体的には、マネージド ID を使って接続文字列や資格情報をアプリ設定から追い出す、SCM/Kudu サイトへのアクセスを制限する、パブリックネットワークアクセスを絞ってプライベートエンドポイントに寄せる、診断設定で AppServiceHTTPLogs と AppServiceAuditLogs を Log Analytics へ送って保持する、といった常設の防御である。悪用も情報開示も無かったとされているため、遡っての侵害調査を全社的に走らせる必要は薄いが、監査ログを取っていない App Service があるならこの機会に有効化しておくとよい。なお社内報告にスコアを載せるときは、9.8（NVD）と 10.0（Microsoft）のどちらの評価元の値かを必ず併記すること。

Microsoft Azure App Service を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58630）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。