Microsoftは2026年5月のPatch Tuesdayで計130件の脆弱性を修正した。中でもAzure DevOpsの情報漏洩（CVE-2026-42826）とAzure Cloud ShellのSSRFによる権限昇格（CVE-2026-32169）はいずれもCVSS 10.0という最高スコアを記録しており、Azure環境を運用するすべての組織で即時対応が求められる。

修正された主要Azure脆弱性

今月のPatch TuesdayにおけるAzure関連の修正は16件。特に注目すべき3件を解説する。

CVE-2026-42826：Azure DevOps 情報漏洩（CVSS 10.0）

CVSS満点10.0を記録したAzure DevOpsの情報漏洩脆弱性。CI/CDパイプラインやソースコードリポジトリを管理するAzure DevOpsは多くの企業の開発インフラ中枢を担っており、この脆弱性が悪用されると機密コードやシークレット情報が流出しうる。サプライチェーン攻撃の入口になりかねない点が特に深刻だ。

CVE-2026-32169：Azure Cloud Shell SSRF → 権限昇格（CVSS 10.0）

Azure Cloud ShellにおけるSSRF（Server-Side Request Forgery）を利用した権限昇格の脆弱性。こちらもCVSS 10.0。SSRF攻撃は本来アクセスできないはずの内部リソースへの到達を可能にする。Cloud Shellはブラウザから直接Azureリソースを操作できる便利なツールだが、悪用された場合はテナント全体に影響が及ぶリスクがある。

CVE-2026-35435：Azure AI Foundry アクセスコントロール EoP

Azure AI Foundryにおけるアクセスコントロールの不備による権限昇格（Elevation of Privilege）脆弱性。AI開発・運用基盤として企業導入が進むAI Foundryへの攻撃経路であり、AI関連ワークロードのセキュリティ設計を改めて見直す契機となる。

なぜこれが重要か

CVSS 10.0は脆弱性スコアの最高値であり「理論上考えられる最悪の影響範囲」を意味する。それが今月は2件同時に報告されたという事実は、軽く受け流せるものではない。

特にAzure DevOpsは現代のソフトウェア開発サプライチェーンの核心部分だ。ここが攻撃されると、ソースコード流出にとどまらず、ビルドパイプラインへの不正コード挿入という連鎖攻撃につながりうる。加えてAzure Cloud ShellはAzure管理者が日常的に使うツールであり、権限昇格の被害を受けた場合はテナント全体への波及が現実的なリスクとなる。

実務での対応ポイント

今すぐやること

  • Azure DevOpsおよびAzure Cloud Shellを利用している環境では、Microsoftが提供するパッチを即時適用する
  • Microsoft Defender for Cloud のアラートを確認し、既に不審なアクセスやSSRFの痕跡がないかを調査する
  • Azure AI Foundryを利用している場合は、アクセス権限の棚卸しを今週中に実施する

中長期的な対応

  • Azure DevOpsのサービスプリンシパルに付与された権限を最小特権の原則で見直す
  • Cloud Shellの使用ログをAzure MonitorまたはMicrosoft Sentinelで継続監視する設定を入れる
  • CI/CDパイプラインで使われるNon-Human Identity（マネージドID・サービスプリンシパル）の権限を定期監査する仕組みを整備する

NHI（Non-Human Identity）の過剰権限は今回のような権限昇格攻撃が刺さりやすい条件を作り出す。サービスプリンシパルに「とりあえずOwner」を付けたまま放置しているケースは依然多い。今回を機に棚卸しを実施してほしい。

筆者の見解

CVSS 10.0の脆弱性が1か月で2件というのは、さすがに重く受け止める必要がある。特にAzure DevOpsはサプライチェーン攻撃の標的として近年注目されており、このタイミングでの情報漏洩脆弱性は実被害に直結しうる。

日本の大企業でよく見かけるパターンとして、「クラウドに移行したが、権限管理の感覚は旧来のオンプレのまま」というケースがある。過剰な権限を持つサービスプリンシパルが大量に放置されていたり、Cloud ShellのアクセスをIPフィルタリング頼みにしていたり——半端なゼロトラストが現場で「悪魔合体」している状況は珍しくない。今回のような脆弱性は、まさにそういった隙間を狙ってくる。

MicrosoftはMicrosoft Sentinel・Defender for Cloud・Just-In-Timeアクセスなど、正しく組み合わせれば非常に強固な防御ラインを引けるツール群を揃えている。パッチを当てることは最低条件として、その先の「設計」まで見直すかどうかで今後の被害リスクは大きく変わる。プラットフォームの力を活かしきれていない組織が多いのは正直もったいないと思う。手を打てるだけの道具は揃っているのだから。

出典: この記事は May 2026 Patch Tuesday: Azure CVEs including CVSS 10.0 in DevOps and Cloud Shell の内容をもとに、筆者の見解を加えて独自に執筆したものです。