Azure SQL Managed Instance の通信経路制限の不備による権限昇格（Microsoft 側で対処済み・利用者の作業は不要）

Critical（CVSS 10.0）に分類されるMicrosoft Azure SQL Managed Instanceの脆弱性です。Azure SQL Managed Instance に、意図した宛先以外への通信経路が塞がれておらず、認証されていない攻撃者がネットワーク経由で権限を昇格できる欠陥があった。Microsoft はこれを 2026年8月6日の月例で公開し、深刻度を Critical、自社評価の CVSS 3.1 基本値を 8.7（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N）としていた。その後 NVD は 2026年8月12日の解析で基本値 10（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）・深刻度 CRITICAL と評価しており、当サイトの表示はこの NVD の値に合わせている。差は攻撃条件の複雑さだけで、Microsoft の AC:H に対しNVD は AC:L を採っている。スコープが変わる（S:C）評価はどちらも共通で、通信経路の制限不備が管理インスタンスの境界を越えて影響しうる性質を反映している。**この項目を掲載しているのは、利用者側に作業があるからではなく、逆に「作業が無いことを確かめられる」ようにするためである。** Microsoft は本 CVE の FAQ で「この脆弱性は Microsoft 側で完全に緩和済みであり、本サービスの利用者が取るべき対応は無い。この CVE を発行する目的は透明性の確保である」と明記している。API 上のフラグもそれを裏づけており、customerActionRequired は false、latestSoftwareRelease は N/A（配布される更新プログラムが存在しない）である。悪用状況も公開状況も明確で、exploited は No、publiclyDisclosed も No、Microsoft の時間評価は E:U（悪用コード未確認）/ RL:O（公式修正あり）/ RC:C（確証あり）で、同社の基本値 8.7 に対する時間補正後スコアは 7.6 とされている。マネージドサービスの CVE は「自分の環境に当てはまるのか、パッチを当てる必要があるのか」が判断しづらく、当てるものが無いことを確認できないまま棚卸し表に残り続けやすい。ここでは一次情報（MSRC）でその答えが確定していることを記録として残す。

**利用者側の対応作業は無い。** NVD の基本値が 8.7 から 10（Critical）へ上がったが、これは評価の話であってやることが増えたわけではない。Microsoft がサービス側で完全に緩和済みで、適用すべき更新プログラムも配布されていない（MSRC の FAQ と、customerActionRequired: false / latestSoftwareRelease: N/A の両方で確認できる）。したがって Azure SQL Managed Instance を使っている場合でも、再起動・バージョン確認・設定変更のいずれも不要である。脆弱性管理の台帳にこの CVE が上がってきた場合は、「対応不要（ベンダ側で修正済み）」として一次情報の URLとともに閉じてよい。**CVSS 10 という数字だけを見て緊急対応の列に載せ直さないこと**が、この CVE で唯一気をつける点である。実務上やる価値があるのは次の2点にとどまる。ひとつは、自組織が使っているのが Azure SQL Managed Instance なのか、Azure SQL Database なのか、VM 上の SQL Server なのかを明確にすること。本 CVE の対象は Managed Instance だけで、他の2つは別の製品として扱われる。もうひとつは、権限昇格の CVE が出た事実を受けて、Managed Instance に付与しているネットワーク境界（サブネット委任・NSG・プライベートエンドポイント）が意図どおりかを棚卸しの機会として見直すことで、これは本 CVE の対応ではなく一般的な衛生管理である。

Microsoft Azure SQL Managed Instance を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62836）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。