Azure DevOps Serverにコード実行の脆弱性、修正版あり
Azure DevOps Serverで、パイプラインのエージェント上でコードを実行される脆弱性が公表され、CVSSは9.9です。自社で運用する組織はPatch 9へ更新し、権限と実行履歴も点検してください。
急ぎ度: 早めに
公表時点で悪用は確認されていませんが、CVSSが9.9と高く、修正版のPatch 9がすでに出ているため、早めの更新が妥当です。
関係があるか
Azure DevOps Server 2025を自社で運用していて、Patch 9より前の版を使っている組織が対象です。ソースコード管理やビルド、デプロイをこのサーバーに集めている環境ほど影響が大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Azure DevOps Server 2025 | 1.0.0.0以上、Patch 9未満 | Patch 9 |
| Azure DevOps | 1.0.0以上、公表時点より前 | 公表時点（2026年11月10日）で修正済みと記録されています |
確かめ方
- 1管理者がAzure DevOps Serverのバージョンとパッチレベルを確認し、Azure DevOps Server 2025かどうか、Patch 9が適用済みかを調べます。
- 2Server 2025以外の版や別の提供形態を使っている場合は、MicrosoftのセキュリティUpdate GuideでCVE-2026-109467を検索し、自社の環境が対象かを確かめます。
- 3対象の版であれば、Project Readerを含む各プロジェクトの権限付与の状況も洗い出しておきます。
何が起きたか
Azure DevOps Serverに認証の不備があり、悪用されると、パイプラインを動かすエージェント上で攻撃者のコードが実行されます。
Microsoftは2026年11月10日にこの脆弱性を公表しました。弱点の分類はCWE-287（不適切な認証）で、CVSS v3は9.9、重大度はcriticalです。ベクターではスコープが変わると評価されており、影響がサーバー単体にとどまらず、エージェントなど別のコンポーネントに及ぶ想定です。
Microsoftの情報では、公表時点で悪用は確認されておらず、脆弱性の詳細が公開された事実もありません。修正版はAzure DevOps Server 2025向けのPatch 9です。
攻撃の流れ
-
1
低い権限で接続
対象のAzure DevOps組織でProject Reader権限を持つアカウントを使います。
-
2
細工した要求
ネットワーク経由で、特別に作った要求をサーバーへ送ります。
-
3
無許可の実行
認可されていないパイプラインの実行が引き起こされます。
-
4
エージェントで実行
パイプラインエージェント上で、攻撃者のコードが動きます。
どう悪用されるか
Microsoftの説明では、対象のAzure DevOps組織でProject Reader権限を持つ攻撃者が、細工したネットワーク要求を送ることで成立します。利用者の操作は要りません。CVSSのベクターでもネットワークから攻撃でき、複雑な条件はなく、必要な権限は低いとされています。
成功すると、パイプラインエージェント上で任意のコードを実行されます。評価では機密性と完全性への影響が高く、可用性への影響は低めです。
筆者は、起点が閲覧向けの権限である点に注意したいと考えています。管理者権限が必要な脆弱性に比べて、条件を満たすアカウントが多くなりやすいためです。
今すぐやること
-
1
利用中の版を確認する
Azure DevOps Serverの版とパッチレベルを確認し、Azure DevOps Server 2025でPatch 9より前なら更新の対象にします。旧版や別の提供形態を使っている場合は、Microsoftの告知で対象かどうかを確かめます。
-
2
Patch 9を適用する
Azure DevOps Server 2025にPatch 9を適用します。本番に入れる前に、テスト環境で更新後のパイプラインが動くことを確認しておくと、切り戻しの判断が楽になります。
-
3
Project Reader権限を棚卸しする
更新までの間も含め、Project Reader権限を持つアカウントを洗い出し、不要な付与や使われていないアカウントを外します。
-
4
パイプラインの実行履歴を見直す
公表前後に、身に覚えのないパイプライン実行や、普段と違う実行元がないかを確認します。見つかった場合は、そのエージェントが扱える資格情報の入れ替えも検討します。
すぐ更新できないとき
Microsoftの告知で回避策が示されているかは、Update Guideで確認してください。修正版の適用が本来の対処です。適用まで時間がかかる場合は、Project Reader権限の付与を最小限にし、サーバーへ接続できるネットワークを社内の必要な範囲に絞って、つなぎとします。これらは条件を狭めるだけで、脆弱性そのものは残ります。
背景
Azure DevOps Serverは、Microsoftが提供するソースコード管理、作業管理、パイプラインによるビルドとデプロイをまとめた開発基盤で、自社のサーバーで運用できます。パイプラインを実際に動かすのはエージェントで、ビルド環境や配布先へ入るための資格情報を持たせている組織が多くあります。エージェント上でコードが動くと、被害が開発サーバーの外に広がりやすいのが、この製品の事情です。
今回の脆弱性は、認証や認可の確認が足りないまま、パイプラインの実行という強い操作に到達できる点に特徴があります。閲覧用の権限が起点になるため、開発者や外部委託先にProject Readerを広く付与している組織ほど、権限の棚卸しの優先度が上がります。
よくある質問
Q.Project Reader権限を持つ人を減らせば、更新は急がなくてよいですか。
まだ分かっていないこと
- 影響対象として挙がっているのはAzure DevOps Server 2025とAzure DevOpsのみで、Server 2022以前の版が影響を受けるかは記載がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftAzure DevOps |
1.0.0 以上 publication 未満→ publication |
publication |
| MicrosoftAzure DevOps Server 2025 |
1.0.0.0 以上 Patch 9 未満→ Patch 9 |
Patch 9 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper authentication in Azure DevOps allows an authorized attacker to execute code over a network.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web secure@microsoft.com
- web nvd.nist.gov
- web github.com