MicrosoftのKey Vault関連SDKに脆弱性2件、利用版を確認

JVN iPediaは2026年10月19日、MicrosoftのAzure Key Vault関連SDK(ソフトウェア開発キット)に関する脆弱性2件を掲載しました。ネットワーク経由でセキュリティ機能の回避や権限昇格につながる恐れがあります。情シスは、開発部門や委託先とともに、利用しているパッケージ名と版を確認する必要があります。

セキュリティ機能の回避と権限昇格、悪用の条件が異なる

CVE-2026-85922は、Azure Key Vaultの弱い認証に関する脆弱性です。JVNによると、ネットワーク経由でセキュリティ機能を回避される恐れがあり、悪用に特権は不要と評価されています。

CVE-2026-85925は、通信先エンドポイントの制限不備に関する脆弱性です。認可済みの攻撃者がネットワーク経由で権限を引き上げる恐れがあります。悪用に必要な特権レベルは「低」とされています。

深刻度を示すCVSS v3基本値は、前者が7.4、後者が8.2で、いずれも「重要」です。JVNは両方について、ソフトウェアが扱う全情報の漏えいや改ざんにつながる恐れを挙げています。これは想定される影響であり、実際の被害発生を示す情報ではありません。

同じパッケージでも、対象となる版が違う

CVE-2026-85922の対象として、次のパッケージと版が掲載されています。

• azure-keyvault-administration：1.0.1未満、4.7.1未満
• azure-keyvault-certificates：1.0.1未満、4.11.2未満
• azure-keyvault-keys：4.11.2未満
• azure-keyvault-secrets：1.0.1未満、4.11.2未満
• azure-keyvault-securitydomain：1.0.0

CVE-2026-85925の対象は次のとおりです。

• azure-keyvault-administration：4.8.1未満
• azure-keyvault-certificates：4.9.1未満
• azure-keyvault-keys：4.10.1未満
• azure-keyvault-secrets：4.11.1未満

同じ名前のパッケージでも、2件の対象範囲は一致しません。片方だけを確認して、対応済みと判断しないことが大切です。また、複数の版条件があるパッケージについて、言語や配布形態との対応は今回の資料には書かれていません。数字だけで更新先を決めず、利用環境に対応するベンダ情報を確認してください。

JVNは、いずれもベンダ情報を参照した対策を求めています。日本での提供は発表には書かれていません。日本のリージョンに固有の影響や、地域による対象の違いも記載されていません。

影響する会社・しない会社

• 影響する: 上記の対象パッケージと版を、自社のアプリケーションで利用している会社です。2件を別々に照合する必要があります。
• 影響する: 委託先が開発・運用するアプリケーションで、対象パッケージと版を利用している会社です。情シス側に版の記録がなければ、委託先への確認が必要です。
• 影響しない: 上記の対象パッケージを利用していないと確認できた会社は、今回掲載されたSDKの対象条件には該当しません。ただし、Azure Key Vaultを使っているという情報だけでは、SDKの利用有無や版までは判断できません。

情シスが今日やること

1. 開発部門と委託先に利用状況を照会します。 上記5種類のパッケージ名とCVE番号2件を送り、利用の有無、導入版、対象システム、担当者の回答を求めてください。まずは今日中を社内の一次回答期限にするなど、確認の期限を決めます。
2. 実際に配備している版を確認します。 開発部門には、ソースコード管理画面の依存関係を記録したファイルと、配備済みアプリケーションの構成記録を確認してもらいます。今回の資料には、確認に使う管理画面や操作手順の指定はありません。確認できないものは「対象外」ではなく「未確認」として残します。
3. 2件それぞれの対象条件と照合します。 パッケージ名、利用版、該当するCVE、確認根拠を一覧にします。一方の対象範囲から外れていても、もう一方の確認を省略しないでください。
4. ベンダ情報で対策を確定し、更新予定を共有します。 開発・運用担当に、利用環境に合う修正版と適用手順を確認してもらいます。その結果をもとに、システム責任者へ該当状況、動作確認の予定、更新予定日を伝えてください。今回の資料には、具体的な適用期限は示されていません。