マイクロソフト、Entra IDの深刻なRCE脆弱性を修正（CVE-2026-69836）

マイクロソフト、Entra IDの深刻なRCE脆弱性を修正（CVE-2026-69836）

The Hacker News – Aug 21, 2026

マイクロソフトは20日、クラウド型ID・アクセス管理サービスのEntra ID（旧Azure Active Directory）に存在する深刻な脆弱性について警告を発した。ただし、翌21日には発表内容の一部に訂正が入り、実際の攻撃における悪用は確認されていないことが判明している。

CVE-2026-69836（CVSSスコア：10.0）として追跡されているこの脆弱性は、「信頼できないデータのデシリアライズにより、権限のない攻撃者がネットワーク経由でコードを実行できる可能性がある」と説明されている。この種の脆弱性は、アプリケーションがユーザーによって制御可能なデータを適切に検証せず、アクティブなオブジェクトやコード構造に変換する際に発生するものとされ、これによってコードの実行やサービス拒否（DoS）、またはアクセス制御の回避などが引き起こされ、攻撃者に不正な操作を許すという。

マイクロソフトの広報はThe Hacker Newsの聞き取りに対し、「この問題を特定して修正を行い、透明性を高めるためにCVE-2026-69836を公開した。顧客側で追加の対応を行う必要はない」とコメントしている。なお、同社は当初この脆弱性を「悪用確認済み」としていたものの、その後これを修正。実際には悪用の事実がなかったことを伝えている。

同社は8月初頭、Windows Ancillary Function Driver for WinSockの深刻度が高い権限昇格の脆弱性（CVE-2026-68820、CVSSスコア：7.0）についても修正を行っている。こちらのバグは北朝鮮関連のLazarus Groupにより、長期間続くキャンペーン「Operation Dream Job」の一環としてゼロデイ攻撃で悪用されていた。

Microsoft Teams悪用のフィッシング攻撃で新マルウェア「SynkLoader」が拡散される

BleepingComputer – August 21, 2026

Microsoft Teamsを悪用したフィッシング攻撃を通じ、「SynkLoader」と名付けられた未知のマルウェアファミリーが拡散されているようだ。

このマルウェアは偽のロック画面を表示し、認証情報を盗み出すことを目的としたもの。標的企業のITヘルプデスクを偽装する手口自体は、多段階攻撃において近年増加しているとして今年初めにマイクロソフトが注意を喚起していた。

セキュリティ企業Expelの研究者によると、この攻撃では被害者を誘導してMicrosoft Azure上でホストされた偽の実行ファイル（.MSI）「PowerShell Cleaner」をインストールさせているとのこと。これをAzure上でホストすることには、ダウンロードの信頼性を高める狙いがあるそうだ。マルウェアの分析により、「コンパイル日時やファイルのタイムスタンプから、2026年7月28日頃に初めてコンパイル・配布された」ことが判明している。

SynkLoaderという名称は、Python、PowerShell、C#、C++という異例の組み合わせで構成されていることに由来し、単一のモジュール内で最大3つのプログラミング言語が混在することもあるという。Expelは正規の被害者を装い、攻撃者のC2サーバーに通信を行うハニーポットを設置して以下のSynkLoaderモジュールを特定した。

• System Profiler：ホスト名、ユーザー名、権限レベル、実行中のプロセス、サービス、ドメイン情報、Active Directory内のコンピューター数を収集する。
• Persistence Module：ランダムな名前のタスクスケジューラを作成し、ユーザーのログオン時および毎日午前10時にSynkLoaderを起動するよう設定する。
• PhishLocker：本物そっくりの偽のWindowsロック画面を表示し、ユーザーのログインパスワードを盗み出す。
• TrafficRedirector：リバースプロキシを作成し、攻撃者が内部ネットワークのサービスにアクセスしたり、感染したコンピューターを経由してインターネットトラフィックをルーティングしたりできるようにする。
• Interactive Shell（RAT）：攻撃者がPowerShellコマンドをリモートで実行し、その出力を受け取れるようにする。
• StreamMaster（VNC）：被害者のデスクトップ画面をストリーミングし、アクティブなセッションに対してマウスやキーボードによるリモート操作を可能にする
• Module Status Script：現在実行中のマルウェアモジュールと関連スレッドの状況を報告する。

Expelは観測された攻撃に関するIoC（セキュリティ侵害インジケーター）を公開したものの、SynkLoaderモジュールのハッシュ値が感染ごとに異なるため、防御側にとってそれほど有用ではないとも指摘した。IT関連の要求については個別に真偽を確認し、怪しいMSIファイルのインストールを避けるだけでなく、予期せずロック画面が表示された場合は「Ctrl+Alt+Delete」や「Alt+Tab」を試し、その画面が本物かどうか確認するよう推奨されている。