VM Inspectorに権限昇格の弱点、CVSS 10.0
Microsoft の VM Inspector for Azure Virtual Machines に、認証なしでネットワーク越しに権限を引き上げられる弱点(CVE-2026-110063)が見つかりました。深刻度は最高の CVSS 10.0 ですが、実際の攻撃で悪用されたかどうかは現時点で明らかになっていません。Azure 仮想マシンを使う組織は、Microsoft のセキュリティ更新プログラムガイドで対象と対応方法を早めに確認してください。
急ぎ度: 早めに
認証不要でネットワークから悪用でき、深刻度は最高の10.0ですが、悪用の確認や影響を受ける版・修正版の詳細は現時点で明らかになっておらず、まずMicrosoftの告知で自社が対象かを確かめる段階です。
関係があるか
Azure仮想マシンでVM Inspector for Azure Virtual Machinesを利用している組織が対象になり得ます。影響を受ける版や、利用者側の作業が必要かどうかは公表されていません。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| VM Inspector for Azure Virtual Machines | 影響を受ける版は公表されていません。Microsoftの告知で確認してください。 | 修正版は公表されていません。Microsoftの告知で確認してください。 |
確かめ方
- 1Azureの管理画面や資産管理台帳で、仮想マシンにVM Inspector for Azure Virtual Machinesを導入・有効化しているか確認します。
- 2Microsoftのセキュリティ更新プログラムガイド（CVE-2026-110063のページ）で、影響を受ける版と、利用者側の対応が必要かどうかを確認します。
- 3対象となる仮想マシンが、インターネットや広い社内ネットワークから到達できる状態になっていないか、ネットワークの設定を確認します。
何が起きたか
MicrosoftのVM Inspector for Azure Virtual Machinesに、権限昇格の弱点が見つかりました。ログインなどの認証を経ずにネットワーク越しで悪用できる可能性があり、成功すると本来持たない高い権限を得られるおそれがあります。深刻度を示すCVSS v3のスコアは、満点の10.0(critical)です。
弱点の種類は「ファイルにアクセスする前のリンク解決が不適切(リンクフォロー)」で、CWE-59に分類されます。ファイルのショートカットやシンボリックリンクが指す先を十分に確かめずに処理すると、本来触れてはいけない場所のファイルを操作してしまう問題です。たとえば、受付係が「このメモに書かれた場所の書類を持ってきて」と頼まれ、メモの行き先が立入禁止の金庫だったのに、そのまま持ってきてしまうようなものです。
CVSSのベクターは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H です。ネットワークから、特別な条件なしに、認証も利用者の操作も要らず悪用でき、影響の範囲が元のコンポーネントの外にまで広がり（S:C）、機密性・完全性・可用性のすべてに大きな影響があると評価されています。これ以上の技術的な詳細は公表されていません。
攻撃の流れ
-
1
到達できる
攻撃者が、弱点のあるVM Inspectorの機能にネットワーク経由でアクセスできる状態にあります。
-
2
リンクを悪用
ファイルのリンク先が十分に確認されないことを突き、本来触れられない対象を処理させます。
-
3
権限が上がる
認証なしのまま、本来より高い権限を得る可能性があります。
-
4
影響が拡大
影響範囲が元のコンポーネントの外に及び、情報の窃取・改ざん・停止につながるおそれがあります。
どう悪用されるか
悪用の前提は、ネットワークから対象の機能に到達できることです。認証は不要で、利用者に操作させる必要もなく、攻略の難易度は低いと評価されています。そのため、対象の環境がどの範囲に公開されているかが、リスクの大きさを左右します。
成功した場合は、権限の引き上げに加え、情報の漏えい、データの改ざん、サービス停止といった広い被害が想定されます。影響が元のコンポーネントの外に及ぶと評価されているため、同じ仮想マシン上や周辺のシステムにも波及し得る点に注意が必要です。
実際の攻撃での悪用が確認されているかどうかは、現時点で明らかになっていません。攻撃コードの公開状況も確認できていないため、Microsoftの告知を継続して確認してください。
今すぐやること
-
1
利用の有無を洗い出す
Azure上の仮想マシンでVM Inspector for Azure Virtual Machinesを使っているか、サブスクリプションごとに棚卸しします。まず仮想マシンの一覧を取り、対象の候補を絞ります。
az vm list -o table -
2
Microsoftの告知を確認する
セキュリティ更新プログラムガイドのCVE-2026-110063のページで、影響を受ける版、修正版、利用者側で必要な作業の有無を確認します。
-
3
修正を適用する
修正版や更新が案内されたら、重要度の高い環境から順に適用します。適用後は、版が告知どおりになっているか確認します。
-
4
ネットワークの公開範囲を絞る
対象の仮想マシンへ到達できる通信元を、ネットワークセキュリティグループなどで必要最小限に絞ります。
-
5
不審な動きを確認する
対象の仮想マシンについて、想定外の権限変更、見覚えのないアカウントやファイル変更、不審な通信がないか、ログを確認します。
すぐ更新できないとき
Microsoftが回避策を公表しているかどうかは、現時点で明らかになっていません。修正を当てるまでの間は、対象の仮想マシンへのネットワークアクセスを信頼できる通信元だけに絞り、インターネットへの不要な公開を避けてください。あわせて、ログの監視を強化してください。
背景
VM Inspectorのような仮想マシン向けの点検・管理系の機能は、多くの仮想マシンの内部を調べるため、高い権限で動くことが一般的です。こうした機能に弱点があると、1か所の問題が広い範囲に影響しやすくなります。
リンクフォロー（CWE-59）は、シンボリックリンクなどが指す先を確かめずにファイルを扱うことで起きる、以前から知られた種類の弱点です。権限の高いプログラムが関わると、権限昇格の原因になりやすいことで知られています。今回のように、ネットワークから認証なしで到達できると評価されるのは珍しく、深刻度が最高値になっています。
よくある質問
Q.CVSS 10.0なら、今すぐ全社で緊急対応が必要ですか。
Q.修正版や更新プログラムはありますか。
Q.利用者側で何か作業が必要ですか。
まだ分かっていないこと
- 影響を受ける版、修正版、利用者側で必要な作業の有無は公表されていません。
- 実際の攻撃で悪用されているか、攻撃コードが公開されているかは、現時点で明らかになっていません。
- 公式の回避策があるかどうかは、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Microsoft | VM Inspector for Azure Virtual Machines | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper link resolution before file access ('link following') in VM Inspector for Azure Virtual Machines allows an unauthorized attacker to elevate privileges over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web secure@microsoft.com
- web nvd.nist.gov
- web github.com