Azure Kubernetes Configuration Service の認証欠如で権限昇格（CVSS 10・Microsoft 側で対処済み・利用者の作業は不要）

Critical（CVSS 10.0）に分類されるMicrosoft Azure Kubernetes Configuration Serviceの脆弱性です。Azure の Kubernetes 構成サービス（Azure Kubernetes Configuration Service）で、重要な機能に認証が掛かっておらず、認証されていない攻撃者がネットワーク経由で権限を昇格できた。Microsoft は 2026年10月22日にこの CVE を公開し、深刻度を Critical、CVSS 3.1 基本値を 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。NVD も同日に公開し、2026年10月23日時点の状態は Received（NVD 独自の採点はまだ付いていない）。 **この項目を載せているのは、利用者側に作業があるからではなく、「作業が無い」ことを確かめられるようにするためである。** MSRC の FAQ には、この脆弱性は Microsoft 側で完全に緩和済みで、サービスの利用者が取る対応は無く、CVE は透明性のために公開すると書かれている。MSRC の API でも customerActionRequired は false で、exploited は No、publiclyDisclosed も No となっている。CISA KEV には収載されていない。

**利用者側の対応作業は無い。** Microsoft がサービス側で完全に緩和済みで、適用する更新プログラムも配布されていない（MSRC の FAQ と customerActionRequired: false で確認できる）。AKS のクラスタやノードイメージを更新する必要も、MSRC には示されていない。脆弱性管理の台帳にこの CVE が上がってきたら、「対応不要（ベンダー側で修正済み）」として MSRC の URL を添えて閉じてよい。**CVSS 10 という数字だけを見て、AKS の緊急メンテナンスを組まないこと**がこの CVE の注意点である。自分のクラスタの Kubernetes のバージョンやノードの更新は、通常の運用サイクルで別に管理する。

Microsoft Azure Kubernetes Configuration Service を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-83938）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。