---
title: "Microsoft Entra Device Registration に、ユーザー制御のキーによる認可回避で、認証なしの攻撃者が権限を昇格できる恐れ（CVE-2026-109469・CVSS v3.1 10.0・Microsoft 提供のクラウドサービス）"
url: https://n-t-p.io/worldsecurity/articles/microsoft-entra-device-registration-authz-bypass-cve-2026-109469
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-109469
---

# Microsoft Entra Device Registration に、ユーザー制御のキーによる認可回避で、認証なしの攻撃者が権限を昇格できる恐れ（CVE-2026-109469・CVSS v3.1 10.0・Microsoft 提供のクラウドサービス）

> **TL;DR:** Microsoft Entra Device Registration で、ユーザー制御のキーによる認可の回避（CWE-639）により、認証なしの攻撃者がネットワーク越しに権限を昇格できる恐れ（CVE-2026-109469・Microsoft 評価 CVSS v3.1 10.0）。クラウド提供のサービスで、対処の状況は未確認。

**要点**
- NVD は 2026-11-06、Microsoft Entra Device Registration の CVE-2026-109469 を登録。ユーザー制御のキーによる認可の回避（CWE-639）で、認可されていない攻撃者がネットワーク越しに権限を昇格できるとされる。
- Microsoft の評価は CVSS v3.1 10.0（AV:N/AC:L/PR:N/UI:N/S:C）。NVD には「クラウドでのみ提供されるサービス」のタグが付いている。
- 認証不要で 9.0 以上のため severity 案は critical。EPSS は未算出、CISA KEV に掲載は確認できず。
- 対処の状況、利用者側の作業の要否、攻撃の条件は未確認。MSRC の勧告で確認する。本稿は公開情報の読み取りで、再現はしていない。

Microsoft の **Entra Device Registration**（デバイス登録）で、**ユーザーが制御できるキーによる認可の回避**（CWE-639）の脆弱性（**CVE-2026-109469**）が登録されました。Microsoft 自身の評価は CVSS v3.1 で**満点の 10.0**（CRITICAL）です。認証は不要で、ネットワーク越しに権限を昇格される恐れがあるとされています。

## 内容
NVD に登録された CVE の記述（2026-11-06 公開、登録元は Microsoft）は、次の 1 文だけです。

- 「Entra Device Registration における、ユーザー制御のキーによる認可の回避（Authorization bypass through user-controlled key）により、認可されていない攻撃者がネットワーク越しに権限を昇格できる」

NVD には、**クラウドでのみ提供されるサービス（exclusively-hosted service）**のタグが付いています。利用者が自分の環境へ更新プログラムを入れるタイプの脆弱性ではなく、**Microsoft 側で対処される種類**と読めます。ただし、対処が済んでいるか、いつ済んだかは、確認できた範囲では見つかっていません。

攻撃の手順、どの機能のどの値を狙うのか、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

## 評価
| 指標 | 値 |
|---|---|
| CVSS v3.1（Microsoft の登録・NVD 上は Primary） | **10.0** `AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H` |
| CWE | CWE-639（ユーザー制御のキーによる認可の回避） |
| NVD 登録 | 2026-11-06（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施） |
| EPSS（FIRST・11/7 時点） | 値なし（未算出） |
| CISA KEV | 掲載は確認できず（11/7 取得） |

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は **critical** とします。ただし、クラウド側で対処されるサービスであり、利用者の作業が要るかは未確認です。

## 影響を受ける範囲と対処
- 影響: **Microsoft Entra Device Registration**（バージョンの区別はなく、NVD 上は「影響あり」の記載のみ）。
- 対処: 修正版の番号や更新プログラムの記載はありません。クラウドで提供されるサービスのため、**利用者側の更新作業が要るかは、Microsoft の勧告（MSRC の更新ガイド）で確認する**のが確実です。本稿では確認できていません。
- 回避策・緩和策の記載は、確認できた範囲では見つかっていません。

## 利用者が考えられること
1. Microsoft の勧告ページ（MSRC の更新ガイド）で、利用者側の作業の要否と対処の状況を確認します。
2. Entra ID のデバイス登録を使っている場合、身に覚えのないデバイスの登録・変更がないか、監査ログとサインインログを確認します。
3. デバイス登録を行える利用者の範囲（登録の許可設定）を見直します。

## 未確認の点
- 対処の状況（修正済みか、いつか）と、利用者側に必要な作業の有無。
- 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
- どの操作・どの機能が対象か（NVD の記述が 1 文のみ）。
- 回避策・緩和策の有無。
- NVD 自身の評価。


## 出典
- [NVD CVE-2026-109469](https://nvd.nist.gov/vuln/detail/CVE-2026-109469) — NIST NVD
- [Microsoft MSRC 更新ガイド CVE-2026-109469](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-109469) — Microsoft
- [FIRST EPSS（CVE-2026-109469・値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-109469) — FIRST
- [CISA KEV カタログ（掲載は確認できず）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/microsoft-entra-device-registration-authz-bypass-cve-2026-109469