Microsoft Entra Device Registration に、ユーザー制御のキーによる認可回避で、認証なしの攻撃者が権限を昇格できる恐れ（CVE-2026-109469・CVSS v3.1 10.0・Microsoft 提供のクラウドサービス）

Microsoft の Entra Device Registration（デバイス登録）で、ユーザーが制御できるキーによる認可の回避（CWE-639）の脆弱性（CVE-2026-109469）が登録されました。Microsoft 自身の評価は CVSS v3.1 で満点の 10.0（CRITICAL）です。認証は不要で、ネットワーク越しに権限を昇格される恐れがあるとされています。

内容

NVD に登録された CVE の記述（2026-11-06 公開、登録元は Microsoft）は、次の 1 文だけです。

• 「Entra Device Registration における、ユーザー制御のキーによる認可の回避（Authorization bypass through user-controlled key）により、認可されていない攻撃者がネットワーク越しに権限を昇格できる」

NVD には、**クラウドでのみ提供されるサービス（exclusively-hosted service）**のタグが付いています。利用者が自分の環境へ更新プログラムを入れるタイプの脆弱性ではなく、Microsoft 側で対処される種類と読めます。ただし、対処が済んでいるか、いつ済んだかは、確認できた範囲では見つかっていません。

攻撃の手順、どの機能のどの値を狙うのか、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

評価

指標	値
CVSS v3.1（Microsoft の登録・NVD 上は Primary）	10.0 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE	CWE-639（ユーザー制御のキーによる認可の回避）
NVD 登録	2026-11-06（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施）
EPSS（FIRST・11/7 時点）	値なし（未算出）
CISA KEV	掲載は確認できず（11/7 取得）

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は critical とします。ただし、クラウド側で対処されるサービスであり、利用者の作業が要るかは未確認です。

影響を受ける範囲と対処

• 影響: Microsoft Entra Device Registration（バージョンの区別はなく、NVD 上は「影響あり」の記載のみ）。
• 対処: 修正版の番号や更新プログラムの記載はありません。クラウドで提供されるサービスのため、利用者側の更新作業が要るかは、Microsoft の勧告（MSRC の更新ガイド）で確認するのが確実です。本稿では確認できていません。
• 回避策・緩和策の記載は、確認できた範囲では見つかっていません。

利用者が考えられること

1. Microsoft の勧告ページ（MSRC の更新ガイド）で、利用者側の作業の要否と対処の状況を確認します。
2. Entra ID のデバイス登録を使っている場合、身に覚えのないデバイスの登録・変更がないか、監査ログとサインインログを確認します。
3. デバイス登録を行える利用者の範囲（登録の許可設定）を見直します。

未確認の点

• 対処の状況（修正済みか、いつか）と、利用者側に必要な作業の有無。
• 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
• どの操作・どの機能が対象か（NVD の記述が 1 文のみ）。
• 回避策・緩和策の有無。
• NVD 自身の評価。