Microsoft Graphに権限昇格の脆弱性、修正版あり
Microsoft Graphの権限昇格の脆弱性で、悪用に成功するとテナントのグローバル管理者権限を得られるおそれがあり、Azure PIMを使う組織に関係します。まず公式の告知で自社の対応要否を確認し、ロール削除の権限を持つアプリを棚卸ししてください。
急ぎ度: 早めに
CVSS v3は9.1と高く修正版も出ていますが、Microsoftは公表時点で悪用を確認しておらず、攻撃に前提の権限も要るため、至急の一段下の早めとしています。
関係があるか
Azure Privileged Identity Management（PIM）を使っているMicrosoftのテナントが対象です。特に、アプリケーションにディレクトリロールの操作権限を与えている組織は、影響の大きさを見積もっておく必要があります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Azure Privileged Identity Management (PIM) | 1.0.0以上、2.0.32.2053未満 | 2.0.32.2053 |
確かめ方
- 1Azure Privileged Identity Management（PIM）を利用しているテナントかどうかを、管理者に確認します。
- 2MicrosoftのCVE-2026-114162の告知ページで、利用者側の作業が要るかどうかと、適用状況の見方を読みます。
- 3ディレクトリロールの削除に関わる権限を付与されたアプリ登録とサービスプリンシパルを一覧にします。
何が起きたか
Microsoft Graphの認可の確認に不備があり、本来は許されないはずのディレクトリロールの割り当てが通ってしまう脆弱性です。悪用に成功すると、攻撃者は影響を受けるテナントでグローバル管理者の特権を得る可能性があります。
2026年11月10日にMicrosoftが公表しました。CWEはCWE-863（Incorrect Authorization）です。
Microsoftの評価では、公表時点で悪用は確認されておらず、脆弱性の詳細も公開されていません。
脆弱性の題はMicrosoft Graphですが、影響を受ける製品として挙げられているのはAzure Privileged Identity Management（PIM）です。修正版はPIMの2.0.32.2053です。
攻撃の流れ
-
1
アプリを掌握
ロール削除の権限を持つアプリケーションを、攻撃者が制御下に置きます。
-
2
細工した要求
特別に細工したリクエストをネットワーク経由で送ります。
-
3
ロールの付与
認可の不備により、特権のあるディレクトリロールが割り当てられます。
-
4
管理者権限
テナントのグローバル管理者の特権を得ます。
どう悪用されるか
攻撃者は、影響を受けるロール削除の権限を持つアプリケーションを制御している必要があります。通信はネットワーク経由で、利用者の操作は要りません。CVSSでも、必要な権限は高い（PR:H）、攻撃の複雑さは低い（AC:L）と評価されています。
成功すると、攻撃者は影響を受けるテナントでグローバル管理者の特権を得る可能性があります。機密性・完全性・可用性への影響はいずれも高いとされ、影響が元のコンポーネントの外に及ぶ（S:C）評価です。テナントの設定変更やデータへのアクセスに管理者権限が使われると、被害はテナント全体に広がります。
今すぐやること
-
1
Microsoftの告知で対応要否を確認する
Microsoft Security Response CenterのCVE-2026-114162のページで、利用者側の作業が必要かどうかと、修正の適用状況の確認方法を読みます。
-
2
PIMを修正版に更新する
利用者側で版を管理する構成なら、2.0.32.2053以降にします。更新の要否が告知で分かれている場合は、その指示に従います。
-
3
ロール操作の権限を持つアプリを棚卸しする
ディレクトリロールの削除に関わる権限を持つアプリ登録とサービスプリンシパルを洗い出します。使っていないものと、権限が広すぎるものは、権限の取り消しか無効化を進めます。
-
4
特権ロールの割り当てを点検する
グローバル管理者などの割り当てと監査ログを見て、身に覚えのない付与がないかを調べます。公表直後で悪用は確認されていませんが、更新と並行して見ておくと、万一のときに気づけます。
すぐ更新できないとき
更新までのつなぎとして、ロール削除の権限を持つアプリケーションの権限を最小限に絞り、不要なアプリは無効にします。これはMicrosoftが示した回避策ではなく、攻撃の前提を減らすための措置です。
背景
Microsoft Graphは、Microsoft 365やEntra IDのユーザー・グループ・ロールなどをプログラムから操作するための共通のAPIです。運用の自動化や外部サービスとの連携では、人のログインを介さず、アプリケーションに付与した権限でテナントを操作します。アプリの権限は、管理者の権限と同じ重さで管理する必要があります。
PIMは、管理者ロールを常時ではなく必要なときだけ有効にして、特権の持ちっぱなしを減らすための仕組みです。その土台にあるロールの割り当てで認可の判断が誤ると、PIMで絞った特権の設計が崩れます。今回のCWE-863は、権限の確認そのものはあるのに、判断が誤って許可してしまう種類の不備です。
よくある質問
Q.題はMicrosoft Graphなのに、影響を受ける製品がPIMなのはなぜですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftAzure Privileged Identity Management (PIM) |
1.0.0 以上 2.0.32.2053 未満→ 2.0.32.2053 |
2.0.32.2053 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Incorrect authorization in Microsoft Graph allows an authorized attacker to elevate privileges over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com