Azure Key Vault の認証不備で、権限の無い攻撃者がネットワーク越しに権限昇格できた

Critical（CVSS 9.8）に分類されるMicrosoft Azure Key Vaultの脆弱性です。Microsoft のマネージドサービス Azure Key Vault に認証の不備があった。NVD の記述は「Improper authentication in Azure Key Vault allows an unauthorized attacker to elevate privileges over a network.」で、権限を持たない攻撃者がネットワーク越しに権限を昇格できる、というものである。MSRC のセキュリティ更新ガイドでは表題が Azure Key Vault Elevation of Privilege Vulnerability、深刻度は Critical、影響は権限昇格（Elevation of Privilege）、公開は 2026年7月23日（リビジョン1のみ）と記載されている。CVSS の評価は評価元で分かれる。NVD 自身（Primary）は 9.8 Critical で、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。Microsoft（CNA）は 10.0 Critical で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H、時間評価は E:U/RL:O/RC:C である。両者の違いは、Microsoft がスコープ変更あり（S:C）かつ機密性への直接影響なし（C:N）と見ているのに対し、NVD はスコープ変更なし（S:U）で機密性まで High と見ている点にある。いずれの評価でも Critical であることは一致している。MSRC の記載では公開時点で悪用は確認されておらず（exploited: No）、一般公開された情報開示も無い（publiclyDisclosed: No）。2026年8月15日時点で CISA KEV カタログには収載されていない。NVD の vulnStatus は Analyzed で、CPE は cpe:2.3:a:microsoft:azure_key_vault のみ、つまり Key Vault サービス本体だけが対象である。

この CVE で利用者がパッチを当てる作業は無い。MSRC は「この脆弱性は Microsoft によって既に完全に緩和済みであり、このサービスの利用者が取るべきアクションは無い。この CVE の目的は透明性の向上である」と明記しており、customerActionRequired も false になっている。Microsoft がクラウドサービス側の脆弱性にも CVE を採番して公開する方針（Toward greater transparency: Unveiling Cloud Service CVEs）に沿って出された1件で、修正はサービス側で完了している。したがって運用側でやるべきことは、更新作業ではなく、記録と確認の側にある。第一に、資産管理表やベンダー脆弱性一覧に Critical の未対応項目として残さないよう、サービス側修正済みという扱いで台帳を閉じる。第二に、Key Vault の権限まわりを普段どおり点検する。具体的には、Key Vault のアクセス制御が旧来のアクセスポリシーのままなら Azure RBAC へ寄せる、パブリックネットワークアクセスを無効化してプライベートエンドポイントに限定する、診断設定で AuditEvent ログを Log Analytics か Storage へ送って保持する、といった常設の防御である。MSRC は悪用も公開情報開示も無かったとしているため、遡っての侵害調査を全社的に走らせる必要は薄いが、監査ログを取っていない Key Vault があるならこの機会に有効化しておくとよい。なお NVD と Microsoft でスコアが 9.8 と 10.0 に割れているので、社内報告に数値を載せるときはどちらの評価元の値かを併記する。

Microsoft Azure Key Vault を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-62825）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。