Microsoftは2026年5月、Azure Logic Appsに深刻な特権昇格脆弱性（CVE-2026-42823）が存在することを公表した。CVSSスコアはCritical評価で、認証済みのユーザーが本来持つべきでない権限を取得できる可能性があり、企業のワークフロー自動化基盤全体に影響を及ぼしかねない。

Azure Logic Appsとはどんなサービスか

Azure Logic Appsは、Microsoftが提供するローコード・ノーコードのワークフロー自動化サービスだ。Microsoft 365、Salesforce、SAP、各種データベースなど数百のコネクタを備え、企業の業務自動化・システム統合に幅広く活用されている。承認フロー、データ変換、定期バッチ処理など、現代のエンタープライズITインフラを支える縁の下の力持ちとも言える存在だ。

CVE-2026-42823の概要

項目 内容

CVE番号 CVE-2026-42823

深刻度 Critical（緊急）

脆弱性の種類 特権昇格（Elevation of Privilege）

影響サービス Azure Logic Apps

推奨対応 2026年5月パッチの即時適用

この脆弱性の本質は「認証は通っているのに、認可が適切に検証されない」点にある。正規のアカウントでサービスにアクセスできるユーザーが、本来アクセスできないリソースや操作に到達できてしまう可能性がある。

特に危険なのは、Logic Appsが他のAzureサービスや外部システムと広範囲に連携しているという性質だ。特権昇格に成功した攻撃者は、Logic Appsを踏み台に接続先サービスへ横断的移動（ラテラルムーブメント）を行うリスクがある。

影響を受けやすい環境

以下のような環境では特にリスクが高い：

  • マルチテナント環境でLogic Appsを運用している
  • Logic AppsからAzure Storage・SQL Database・Key Vaultへの接続を行っている
  • 外部SaaSとのデータ連携にLogic Appsを使っている
  • 承認フローや人事・財務プロセスをLogic Appsで自動化している

日本のIT現場での対応ポイント

1. パッチ適用状況の即時確認

Azureマネージドサービスの多くはMicrosoftが自動更新するが、サービスによってはユーザー側の操作が必要なケースもある。Azure PortalまたはMicrosoft Defender for Cloudの「推奨事項」ページで、影響リソースが修復済みかどうかを確認することが先決だ。

出典: この記事は CVE-2026-42823: Why Azure Logic Apps Elevation of Privilege Matters の内容をもとに、筆者の見解を加えて独自に執筆したものです。