Entra Connectに権限昇格脆弱性 手動更新が必須

Microsoft Entra Connect Sync に、権限昇格の脆弱性 CVE-2026-65673 が公表されました。影響を受けるのは 2.6.84.0 より前のすべてのバージョンです。CVSS v3.1 基本値は 7.8（重要）。修正版の 2.6.84.0 はすでに 2026年7月7日にリリースされています。

攻撃には対象サーバ上のローカルアカウントが必要で、インターネットから直接叩かれる類のものではありません。しかし Entra Connect サーバは、Microsoft 自身が「Tier 0（コントロールプレーン）資産として扱うこと」と公式に求めている最重要サーバです。そして厄介なことに、この更新は Windows Update では降ってきません。WSUS や Intune のパッチ適用率が100%でも、この脆弱性は残ったままです。

この記事でわかること

  • CVE-2026-65673 の影響範囲と修正バージョン
  • Entra Connect が「うちにもあるかもしれない」理由と、5分でできる存在・バージョン確認
  • Windows Update で配られず、自動アップグレードも当てにできないという運用上の落とし穴
  • 同時に迫る「2026年9月30日までに 2.5.79.0 以上」という同期停止の期限

Microsoft Entra Connect とは何者か

Microsoft Entra Connect（旧 Azure AD Connect）とは、オンプレミスの Active Directory にあるユーザーやグループの情報を、クラウドの Microsoft Entra ID（旧 Azure AD）へ同期するために、社内サーバへインストールする同期ツールです。

使われるのは、Microsoft 365 を導入しつつ社内 AD も残している、いわゆるハイブリッド構成の組織です。社員が社内 AD のアカウントとパスワードでそのまま Microsoft 365 にサインインできるのは、このツールが裏でユーザー情報やパスワードハッシュを同期しているからです。

「うちは入れた覚えがない」と思っても油断できません。Microsoft 365 の導入時に構築ベンダーが立てた同期用サーバで静かに動いていることが多く、数年たって担当者が入れ替わると、資産管理台帳には「M365 同期サーバ」としか書かれていない、という状態になりがちです。インストール時には SQL Server Express LocalDB や Entra Connect Health エージェントも同時に入ります。同期エンジンは ID データを SQL データベースに格納する設計で、既定ではこの LocalDB が使われます。今回の脆弱性が SQL コマンドの取り扱いに起因する点は、この構造と結びついています。

自社にあるかどうか、どう確認すればよいですか？

対象サーバで次の2点を見れば5分で判定できます。

  1. サービス一覧（services.msc）に Microsoft Entra ID Sync（旧称 Microsoft Azure AD Sync）があり、実行中かどうか。
  2. あれば C:\Program Files\Microsoft Azure AD Connect\AzureADConnect.exe を右クリック →［プロパティ］→［詳細］タブで「製品バージョン」を確認する。

ここが 2.6.84.0 未満なら今回の対象です。Microsoft Entra 管理センターの Entra Connect の画面からも同期サーバとバージョンを確認できます。

何が起きたのか

項目 内容
CVE 番号 CVE-2026-65673
種別 SQL インジェクション（CWE-89）によるローカル権限昇格
CVSS v3.1 7.8（重要）／ AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
影響バージョン Microsoft Entra Connect 1.0.0 以上 2.6.84.0 未満
修正バージョン 2.6.84.0（2026年7月7日リリース）
公表日 2026年8月11日（8月の月例セキュリティ更新）
入手先 Microsoft Entra 管理センター（Windows Update では配布されない）

NVD の記述は「Microsoft Entra Connect Sync において、SQL コマンドで使用される特殊な要素が適切に無害化されないため、認可された攻撃者がローカルで権限を昇格できる」というものです。CVSS ベクターの AV:L（ローカル）と PR:L（低い権限が必要）が示すとおり、攻撃者はまずそのサーバ上で何らかのアカウントを得ている必要があります。一方で、機密性・完全性・可用性のいずれへの影響も「高」と評価されています。

本稿執筆時点（2026年8月19日）で、この脆弱性が実際に悪用されたという公開情報は確認できていません。8月の月例更新のうち IPA が「悪用の事実を確認済み」として名指ししているのは、別件の CVE-2026-68820（WinSock 用 Windows Ancillary Function Driver の特権昇格）です。

ローカル権限昇格なのに、なぜ優先度を上げるべきなのですか？

答えは、その脆弱性が存在する「場所」が特別だからです。Microsoft は公式ドキュメントで、Entra Connect サーバは重要な ID データを保持するため Tier 0（コントロールプレーン）コンポーネントとして扱い、ドメイン管理者級の厳格な管理下に置くことを明記しています。

このサーバは社内 AD からユーザー情報を読み出す権限を持ち、構成によってはパスワードハッシュ同期や、クラウド側で変更したパスワードをオンプレに書き戻すパスワードライトバックも担う、オンプレとクラウドの ID 基盤をまたぐ結節点です。Microsoft 自身も、攻撃者が Entra Connect サーバを制御下に置けば Entra ID 上のユーザーを操作できてしまう点を、特権ユーザー全員に多要素認証を有効化すべき理由として挙げています。「ローカルからしか攻撃できない」は「安全」ではなく「侵入されたあとの一手」という意味です。社内の一般端末を取られ、そこから横展開してこのサーバに低権限の足がかりを作られた——という前提で読み直すと、7.8 という数字は見た目より重く感じられるはずです。

現場が踏みやすい3つの落とし穴

落とし穴1：Windows Update では配られない

Entra Connect の更新は、Windows Update・WSUS・Intune の更新リングでは配布されません。Microsoft の前提条件ドキュメントには、インストールファイルは Microsoft Entra 管理センターからのみ提供されると明記されています。

実務上、この一点がいちばん効いてきます。パッチ管理ツールのダッシュボードが「適用率100%」を示していても、この脆弱性は未対応のまま残るということです。手動でインストーラーを取得し、計画停止を取って適用するしかありません。

落とし穴2：自動アップグレードを当てにできない

Entra Connect には自動アップグレード機能がありますが、Microsoft のリリース履歴には「すべてのリリースが自動アップグレードで提供されるわけではない」「自動アップグレードの対象にならない構成もある」と明記されています。実際、2.6.3.0 や 2.6.1.0 には「〇月〇日から既存インストールを自動アップグレードする」と書かれているのに対し、2.6.84.0 の記載は「Microsoft Entra 管理センターからのダウンロードで提供」のみです（2026年8月19日時点）。自動アップグレードを有効にしてあるから当たっているはず、という推測は成り立ちません。

落とし穴3：「7月に更新したから大丈夫」が通じない

修正版 2.6.84.0 のリリースは2026年7月7日、CVE の公表は8月11日です。7月の時点では「セキュリティ修正を含むため、可能な限り早く更新することを推奨」という案内で、CVE 番号が付いたのは1か月後でした。判断基準を「いつ更新したか」ではなく「バージョンが 2.6.84.0 以上か」に置き換える必要があります。

あわせて注意したいのが 2.6.79.0 です。このバージョンはリリース後に問題が判明してインストーラーが回収されており、Microsoft は、導入済みの場合はアンインストールのうえ最新の 2.6.84.0 を入れ直すよう案内しています。

もうひとつの期限：2026年9月30日に同期が止まる

今回の更新作業には、別の締め切りが重なっています。Microsoft は前提条件ドキュメントで、2026年9月30日時点で 2.5.79.0 以上になっていない環境では、Entra Connect Sync の同期機能がすべて停止すると告知しています。バックエンド側のサービス強化にともなう強制的なアップグレード要件です（.NET Framework 4.7.2 と TLS 1.2 の要件も併せて満たす必要があります）。

同期が止まるということは、入社者のアカウント作成も、退職者の無効化も、パスワード変更のクラウド反映も止まるということです。これは脆弱性対応というより、事業影響の話になります。

サポート期限（End of support）も並行して進んでいます。

バージョン サポート終了日
2.5.3.0 2026年7月31日（終了済み）
2.5.76.0 2026年9月1日
2.5.79.0 2026年10月23日
2.5.190.0 2027年2月2日
2.6.1.0 2027年3月10日
2.6.3.0 2027年7月7日
2.6.84.0 （未定：次期版リリースの12か月後）

2.5 系を使っているなら、9月30日の強制期限、サポート終了、そして今回の CVE がほぼ同時に効いてきます。別々のチケットに分けず、1回の計画停止でまとめて 2.6.84.0 へ上げてしまうのが、いちばん現実的です。

情シスはどうすべきか

手順そのものは Microsoft のアップグレード手順に従えば済みます。自前の長いチェックリストを並べる代わりに、押さえどころだけ挙げます。

  • 棚卸しから始める：Entra Connect サーバがどこに何台あるか。ステージングモードで待機している副系も対象です。台帳に載っていない可能性をまず疑ってください。
  • バージョンを実機で確認する：前述の AzureADConnect.exe のプロパティ、または Microsoft Entra 管理センターから。「自動更新のはず」で済ませない。
  • 更新は計画停止で：ステージングサーバがあるなら先にそちらで検証する段取りが安全です。同期停止中はアカウント運用が止まる点を関係部署に事前共有しておきます。
  • サーバの守り方を見直す：管理者アカウントの限定、専用の管理端末、NTLM の制限、LAPS。ローカル権限昇格は「誰がこのサーバにログオンできるか」を絞れていれば影響が小さくなります。Microsoft の Entra Connect の前提条件（サーバの要塞化）が一次情報です。

組織全体の管理策として整理するなら、IPA の 中小企業の情報セキュリティ対策ガイドライン が資産管理・アクセス制御の抜けを洗い出す土台になります。「侵入されたあとの権限昇格」は、最初の1台を取られないためのユーザー教育と地続きです。利用者向けの啓発には 対策のしおり、ID 基盤が止まったときの動き方を練習するには セキュリティインシデント対応 机上演習教材 が無償で使えます。

現場目線の所感

Entra Connect は、正直なところ「触りたくないサーバ」の代表格ではないでしょうか。1台しかなく、止めるとアカウント運用が止まる。構築したのは数年前のベンダーで、社内に手順を知る人が残っていない。そこへ「ローカル権限昇格、CVSS 7.8」という、緊急とは言い切れない微妙な数字が出てくると、月例パッチの山に埋もれて翌月送りになる——というのが実際のところだと思います。

ただ、このサーバだけは扱いが違います。侵入されたあとの被害の広がり方が、業務サーバ1台とは比較になりません。何より怖いのは、「Windows Update に出てこない → パッチ管理台帳に載らない → 誰も気づかない」という構造そのものです。数字の重さより、見えていないことの方が問題です。9月30日という強制期限が来るこの機会に、棚卸しと更新をまとめて片づけてしまうのが、結果的にいちばん楽なはずです。

まとめ

  1. CVE-2026-65673 は Microsoft Entra Connect 2.6.84.0 未満に影響するローカル権限昇格（CVSS 7.8）。修正版 2.6.84.0 は2026年7月7日にリリース済み。
  2. この更新は Windows Update では配布されず、自動アップグレードでの配信も明記されていない。実機でバージョンを確認するしかない。
  3. 2026年9月30日までに 2.5.79.0 以上へ上げないと同期そのものが停止する。脆弱性対応と合わせ、1回の計画停止で 2.6.84.0 へ。

関連記事

出典

タイトルとURLをコピーしました