Entra Device RegistrationにCVE-2026-109469――修正版確認を

公開日：2026年11月9日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-109469 の概要――Entra Device Registrationに権限昇格の脆弱性

2026年11月6日、Microsoft は Entra Device Registration に影響する権限昇格の脆弱性 CVE-2026-109469 を公開した（出典: CVE Program / cve.org、Microsoft Security Response Center）。

CVSS 3.1 スコアは 10.0（CRITICAL）であり、攻撃ベクタはネットワーク、攻撃複雑度は低、必要な権限はなし、ユーザー操作も不要という条件が揃っている（評価者: Microsoft）。弱点の種類は CWE-639「ユーザーが制御可能なキーによる認可バイパス」に分類される。

端的に言えば、認可されていない攻撃者がネットワーク越しに Entra Device Registration の認可ロジックを迂回し、権限を昇格させることが可能な状態だ。

図1: CVE-2026-109469 の攻撃経路と影響の概略。

ほかの製品の脆弱性でも悪用が確認されているかは、SonicOS脆弱性CVE-2026-19868で解説しています。

CWE-639「ユーザーが制御可能なキーによる認可バイパス」は、本来サーバー側で管理・検証されるべき識別子やトークンを、攻撃者が制御可能な値に差し替えることで認可を迂回できる欠陥を指す分類だ。

次に読む：Barracuda ESGの認証バイパスの仕組みは？

2026年11月7日時点のデータで、EPSS（悪用確率の統計的推定）スコアは 0.00668（パーセンタイル 0.522）だ（出典: CVE Program）。EPSS はあくまで統計的推定であり、悪用の有無を断定するものではない。

CISA の KEV（既知の悪用脆弱性カタログ）への掲載は確認されていない（2026年11月8日時点）。KEV 未掲載は「悪用されていない」ことを意味するわけではない。

以下の表で、CVE-2026-109469 の主要属性を整理する。

CVE-2026-109469 主要属性一覧（2026年11月8日時点）
属性	内容	出典・備考
CVE ID	CVE-2026-109469	CNA: Microsoft
公開日	2026年11月6日	cve.org
対象製品	Microsoft Entra Device Registration	cve.org / MSRC
脆弱性種別	権限昇格（Elevation of Privilege）	MSRC
弱点種別	CWE-639: 認可バイパス（ユーザー制御キー）	cve.org
CVSS 3.1 スコア	10.0 / CRITICAL（評価者: Microsoft）	cve.org
攻撃条件	ネットワーク・低複雑度・権限不要・操作不要	CVSS ベクタより
影響範囲（Scope）	Changed（スコープ変化あり）	CVSS ベクタより
CISA KEV 掲載	なし（2026年11月8日時点）	CISA KEV
EPSS スコア	0.00668（パーセンタイル 0.522）	FIRST、2026年11月7日時点
悪用報告	確認されていない	cve.org / MSRC
公式修正・回避策	MSRC告知ページで詳細確認が必要	MSRC

現時点で運用担当者が取るべき行動は以下の3点に絞られる。

修正版への更新。Entra Device Registrationを利用している場合は、Microsoft Security Response Center の公式告知（msrc.microsoft.com）に従い、修正版へ更新する。
公式回避策の確認。公式の回避策はMSRC告知を参照のこと。なお、事実シートでは公式の回避策は確認できていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

今回の脆弱性とAI技術との直接的な関係は確認されていない。AIが発見した・AI製品の欠陥・AIを用いた攻撃手法のいずれも、一次情報からは確認できない。