JVN iPediaは2026年10月15日、MicrosoftのAzure AI Language Authoringに関する脆弱性情報を掲載しました。重要な機能で認証が欠けており、ネットワーク経由で権限を昇格される恐れがあります。情シスは対象サービスの利用有無を調べ、Microsoftの対策情報を確認する必要があります。
認証なしで攻撃できる恐れ、深刻度は「緊急」
脆弱性の識別子はCVE-2026-70352です。本人やアクセス元を確かめる認証が重要な機能で欠ける問題で、弱点の分類はCWE-306とされています。
JVN iPediaに掲載されたCVSS v3基本値は10.0、深刻度は「緊急」です。CVSSは、脆弱性の深刻さを示す評価指標です。同サイトの評価では、攻撃条件の複雑さは「低」で、攻撃に必要な特権はありません。利用者の操作などの関与も不要とされています。
想定される影響は、権限の昇格だけではありません。扱う全情報が外部に漏れる、全情報が書き換えられる、対象ソフトウェアが完全に停止する可能性が示されています。ただし、これは脆弱性によって起こり得る影響の説明です。今回の資料には、実際の被害や悪用の有無は書かれていません。
修正状況はベンダ情報で確認する
JVN iPediaは、ベンダ情報を参照して適切な対策を取るよう求めています。参照先として案内しているのは、Microsoftのセキュリティ更新プログラムガイドです。
一方、今回の資料には、影響する版やプラン、修正済みかどうか、利用者側で必要な作業、対策の期限は書かれていません。「クラウドなので対応不要」「手元のソフトウェアを更新すれば完了」とは判断せず、対象の識別子でベンダ情報を照合することが先決です。
日本での提供は発表には書かれていません。日本の環境が影響対象になるかどうかも、今回の資料だけでは判断できません。
影響する会社・しない会社
- 影響する: Azure AI Language Authoringを利用している会社は、対象範囲と対策状況の確認が必要です。利用しているだけで被害が発生したとは限りません。
- 影響する: 自社の業務システムについて、開発部門や委託先に同サービスの利用有無を確認する必要がある会社です。組み込み利用が対象かどうかの詳しい条件は、発表には書かれていません。
- 影響しない: Azure AI Language Authoringを利用していないと確認できた会社は、今回示された対象には該当しません。ただし、Azureのほかのサービスを使っているという情報だけでは、対象か対象外かを判断できません。
情シスが今日やること
- 今日中に、IT資産台帳やクラウドの利用記録で「Azure AI Language Authoring」を探します。記録だけで判別できなければ、開発責任者と委託先に利用有無を照会します。具体的な管理画面名や確認箇所は、今回の資料にはありません。
- Microsoftのセキュリティ更新プログラムガイドで「CVE-2026-70352」を確認します。対象条件、修正状況、利用者側の作業、期限の記載を調べ、確認日とともに対応記録へ残します。資料にない更新方法を推測して作業しないでください。
- 利用が判明した場合は、サービス管理者と業務責任者に、情報の漏えい・改ざん・停止の可能性を共有します。併せて、そこで扱う情報と停止時に影響する業務を確認します。脆弱性の公表と、実際の被害発生は分けて伝えます。
- 今日の確認結果を「未利用」「利用あり」「確認中」に分け、セキュリティ担当へ報告します。確認中の項目には担当者と社内の回答期限を決めます。対策の完了判断は、ベンダ情報で必要な対応を確認してから行います。
