Microsoft Entra（AAD）App Proxy の認証不備で権限昇格（CVSS 10・Microsoft 側で対処済み・利用者の作業は不要）

Critical（CVSS 10.0）に分類されるMicrosoft AAD App Proxy（Microsoft Entra アプリケーションプロキシ）の脆弱性です。社内の Web アプリを外部へ公開するための Microsoft のクラウドサービス AAD App Proxy（Microsoft Entra アプリケーションプロキシ）に認証の不備があり、認証されていない攻撃者がネットワーク経由で権限を昇格できた。Microsoft は 2026年10月22日にこの CVE を公開し、深刻度を Critical、CVSS 3.1 基本値を 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）としている。NVD は同日に公開し、2026年10月23日時点の状態は Received（NVD 独自の採点はまだ付いていない）。 **この項目を載せているのは、利用者側に作業があるからではなく、「作業が無い」ことを確かめられるようにするためである。** MSRC の FAQ には、この脆弱性は Microsoft 側で完全に緩和済みで、サービスの利用者が取る対応は無く、CVE は透明性のために公開すると書かれている。MSRC の API でも customerActionRequired は false で、exploited は No、publiclyDisclosed も No となっている。CISA KEV には収載されていない。

**利用者側の対応作業は無い。** Microsoft がサービス側で完全に緩和済みで、適用する更新プログラムも配布されていない（MSRC の FAQ と customerActionRequired: false で確認できる）。オンプレミスに置いているプライベートネットワークコネクタ（旧 App Proxy コネクタ）についても、MSRC は更新手順を示していない。脆弱性管理の台帳にこの CVE が上がってきたら、「対応不要（ベンダー側で修正済み）」として MSRC の URL を添えて閉じてよい。**CVSS 10 という数字だけを見て緊急対応の列に載せないこと**がこの CVE の注意点である。棚卸しの機会として、App Proxy で公開しているアプリの一覧と事前認証の方式（Entra ID の事前認証かパススルーか）が意図どおりかを見直す価値はあるが、それは一般的な衛生管理であって、この CVE への対応ではない。

Microsoft AAD App Proxy（Microsoft Entra アプリケーションプロキシ） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-97785）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。