MicrosoftのDiscovery Studioに脆弱性、利用確認を

JVN iPediaは2026年10月15日、MicrosoftのDiscovery Studioに情報漏えいの恐れがある脆弱性を掲載しました。権限のない攻撃者がネットワーク経由で情報を漏えいさせる可能性があり、利用企業は対象の詳細と対策をMicrosoftの情報で確認する必要があります。

特権なしで攻撃可能、ただし利用者の関与が必要

脆弱性の識別番号はCVE-2026-62906です。分類は、データを問い合わせる処理で、特別な意味を持つ要素を適切に処理できない問題を示すCWE-943です。

深刻度を数値で示すCVSS v3の基本値は7.4で、JVN iPediaでは「重要」とされています。攻撃条件の複雑さは「低」で、攻撃者に特権は必要ありません。一方、攻撃の成立には利用者の関与が必要とされています。

このため、特権が不要という点だけを見て、利用者の操作なしに攻撃が成立すると判断するのは適切ではありません。ただし、どのような操作が攻撃の成立に関わるのかは、今回の掲載情報には書かれていません。利用部門へ知らせる際も、判明している条件と未確認の点を分けて伝える必要があります。

情報漏えいの範囲と、対策の確認先

JVN iPediaは、ソフトウェアが扱う全情報が外部に漏れる可能性を示しています。一方、情報の書き換えに関わる完全性と、サービスを使い続けられるかに関わる可用性への影響はないという評価です。これらへの影響がないことと、情報漏えいの危険が小さいことは別です。

掲載情報に、実際の被害の有無は書かれていません。また、影響を受ける版や修正の詳細も、今回の情報だけでは判断できません。JVN iPediaは、対象製品の詳細をベンダ情報などで確認し、Microsoftの情報を参照して適切な対策を取るよう求めています。

日本での提供は、今回の発表には書かれていません。日本向けの提供状況を前提に対象外と判断せず、社内でDiscovery Studioを利用しているかどうかを起点に確認するのが適切です。

影響する会社・しない会社

• 影響する: MicrosoftのDiscovery Studioを利用する会社は、今回の脆弱性の対象に該当するか確認が必要です。影響を受ける版、プラン、地域などの詳細条件は、今回の発表には書かれていません。
• 影響しない: MicrosoftのDiscovery Studioを利用していないことを確認できた会社は、今回示された対象製品の利用には該当しません。他のMicrosoft製品を使っているという理由だけで、本件の対象になるとは判断できません。

情シスが今日やること

以下は社内で進める確認手順の提案です。発表による対応期限や、確認すべき管理画面の名称は示されていません。

1. まず、利用の有無と担当者を確認する。 社内のIT資産台帳や契約一覧で「Microsoft」「Discovery Studio」を確認します。記載がない場合も未利用と即断せず、利用が想定される部門や調達担当者に確認を依頼します。
2. 利用が分かったら、対象条件と対策を照合する。 JVN iPediaのCVE-2026-62906の掲載情報から、参照先のMicrosoftの情報を確認します。対象の詳細、修正や回避策の案内を読み、確認できた内容と未確認事項を記録します。今回の情報だけで更新方法を決めないでください。
3. 対象の確認と並行して、利用部門の責任者へ知らせる。 情報漏えいの恐れ、攻撃に特権が不要なこと、利用者の関与が必要なことを共有します。具体的な操作条件は未確認であることも添え、特定の操作を推測で危険と断定しないようにします。
4. 初回確認の終了時に、対応担当と次の確認日を決める。 Microsoftの案内に沿った対応内容を担当者と整理します。対象条件や対策が確認できなかった場合は、未確認のまま完了にせず、利用部門と再確認の日程を共有してください。