Microsoft は2026年10月15日(米国時間)、4件の脆弱性 (CVE)をセキュリティ 更新ガイドに公開しました。13日の月例の更新から2日遅れの公開です。このうち2件は、自社のアプリにMicrosoftのサインインを組み込む部品「MSAL Node」と「Microsoft Identity Web」のもので、当サイトではまだ扱っていません。
フランスのCERT-FRは16日、4件を注意情報CERTFR-2026-AVI-1332にまとめました。MicrosoftのMSRC(セキュリティ対応センター)の情報で、製品・直った版・悪用の条件を確かめます。
10月15日に公開された4件の内訳
CVE
製品
種類
CVSS
直った版
当サイト
CVE-2026-109461
MSAL Node(@azure/msal-node)
情報漏えい 5.9
7.1.0
この記事
CVE-2026-80092
Microsoft Identity Web
権限昇格 5.3
3系は3.16.0、4系は4.16.1
この記事
CVE-2026-108452
SharePoint Server Subscription Edition
リモートでのコード実行
8.8
KB5002927(16.0.20326.20190)
10月の更新で直り済み
CVE-2026-109468
ASP.NET Core(System.Formats.Cbor、Visual Studio)
サービス妨害
7.5
Cbor 8.0.1・9.0.21・10.0.13、VS 17.14.42・18.10.4
既報
4件とも、MSRCの深刻度は「重要」です。悪用も、一般への公開も確認されていません。米国CISAのKEV(悪用が確認された脆弱性の一覧)にも、4件とも載っていません(2026年10月16日版で確認)。
SharePointのCVE-2026-108452は10月の更新で直っている
CVE-2026-108452は、SharePoint Server Subscription Editionのリモートでのコード実行の脆弱性です。サイト所有者として認証された攻撃者が、ネットワーク経由でサーバー上のコードを動かせるとされています。プレビューウィンドウは攻撃の経路にならない、とMSRCは書いています。
MSRCの改訂(1.1)によると、この件は10月の更新で直っていました。ところが10月のセキュリティ更新の一覧に、載せ忘れていたと説明しています。10月の更新を当て済みなら追加の作業は要らない、とも書いています。
直すのは、同じ製品の権限昇格2件と同じKB5002927です。版の確かめ方はMicrosoftのSharePointに権限昇格の脆弱性、対象版の確認を にまとめています。FAQにはSharePoint Server 2016のKBについての問答もありますが、影響する製品の表に載るのはSubscription Editionだけです(10月18日時点)。
MSAL Node(CVE-2026-109461)は7.1.0で直る
MSAL Nodeは、Node.jsで作るWebアプリなどが、Microsoft Entra ID(会社のMicrosoftアカウントの仕組み)でサインインする処理を受け持つ部品です。npmの「@azure/msal-node」として配られています。
MSRCによると、悪用されると資格情報(サインインに使う情報)が漏れる恐れがあります。攻撃の条件は厳しく(AC:H)、次の2つがそろったアプリだけが対象です。
アプリが特定のサインインの処理のしかたを使っている
あらかじめ決めた認証先の情報を持たず、既定の自動の探索に頼っている
GitHubの告知(GHSA-xcx6-jx8p-x3h5)は、認可コードフロー(サインインの後に受け取る一時的なコードで通行証を得る流れ)が対象と書いています。影響する版は5.0.0-beta.0以上7.1.0未満です。それより前の版(3系など)は、この範囲に入っていません。
MSRCのCVE-2026-109461の悪用可能性・FAQ・更新プログラムの表 出典: Microsoft Security Response Center (引用) すぐに上げられない場合の回避策も、GitHubの告知にあります。acquireTokenByCodeという関数に渡す値を、認可コードだけにすることです。7.1.0はnpmで10月13日(協定世界時)に公開されています。
Identity Web(CVE-2026-80092)は3系と4系で直った版が違う
Microsoft Identity Webは、ASP.NET CoreのWebアプリやWeb APIが、Microsoft Entra IDでサインインしたりトークンを取ったりするための部品です。NuGetの「Microsoft.Identity.Web」として配られています。
MSRCによると、攻撃者がほかの利用者のアクセストークン(サービスに入るための通行証)を手に入れ、そのトークンで許された範囲にアクセスできる恐れがあります。条件は、アプリが共有のトークンキャッシュを使い、狙われた利用者の有効なトークンがそこにあることです。トークンキャッシュは、取ったトークンを使い回すために一時的に置いておく場所です。
MSRCのCVE-2026-80092の悪用可能性・FAQ・更新プログラムの表(日本語版) 出典: Microsoft Security Response Center (引用)
直った版の書き方が、MSRCの言語で違います。英語版の表は3系(v3)の直った版を3.16.0、日本語版の表は4.16.1としています(10月18日に確認)。CERT-FRは3.16.0未満だけを挙げています。NuGetでは3.16.0と4.16.1がどちらも10月13日に公開され、変更履歴にはどちらも「Security fixes」とあります。3系は3.16.0以上、4系は4.16.1以上に上げておくと、どちらの表でも直った版になります。
ASP.NET CoreのCVE-2026-109468は既報
CVE-2026-109468は、System.Formats.Cbor(CBORという形式のデータを読む部品)を使うアプリのサービス妨害です。対応の経路は.NETとASP.NET Coreに複数の脆弱性 更新は3つの経路で にまとめています。10月16日の改訂(1.1)は、Visual Studioのダウンロードと資料のリンクを足しただけで、直った版は変わっていません。
影響する会社・しない会社
影響する: Node.jsで作ったアプリで、@azure/msal-nodeの5.0.0-beta.0から7.0.xを使い、認可コードフローでサインインしている会社。自社で作ったものも、委託して作ったものも含みます
影響する: ASP.NET Coreのアプリで、Microsoft.Identity.Webの3.16.0未満の3系か、4.16.1未満の4系を使い、共有のトークンキャッシュを使っている会社
影響する: SharePoint Server Subscription Editionに、10月の更新(KB5002927)をまだ当てていない会社
影響しない: Microsoft 365などのサービスを使うだけで、Microsoftのサインインを組み込んだアプリを作っていない・作らせていない会社
影響しない: SharePoint Server Subscription Editionに10月の更新を当て済みの会社。Microsoftは追加の作業は不要としています
情シスが今日やること
対象のアプリを洗い出します。 社内の開発担当と委託先に、Microsoftのアカウントでサインインする自社のアプリの一覧を出してもらいます。社内のポータル、申請の仕組み、取引先向けのサイトなどが当たりやすい所です。部品の版を確かめてもらいます。 Node.jsのアプリは「npm ls @azure/msal-node」、.NETのアプリは「dotnet list package」で、使っている版が分かります。更新と配り直しの日を決めます。 部品を上げただけでは直らず、アプリを作り直して本番に出し直す必要があります。版が直った版より古ければ、出し直しの日を委託先と決めます。SharePoint Server Subscription Editionの版を確かめます。 16.0.20326.20190以上なら、CVE-2026-108452の作業は済んでいます。結果を台帳に残します。 アプリの名前、部品と版、更新した日を、IT資産の台帳に書きます。
委託先への聞き方
委託して作ったアプリは、版を委託先に聞かないと分かりません。次の問いを文書で送り、答えも文書でもらいます。
当社のアプリで、Microsoft Entra IDのサインインに使っている部品は何か。@azure/msal-nodeかMicrosoft.Identity.Webなら、その版は何か
@azure/msal-nodeなら、認可コードフローを使っているか。7.1.0に上げる予定はいつか
Microsoft.Identity.Webなら、共有のトークンキャッシュを使っているか。3.16.0以上か4.16.1以上に上げる予定はいつか
上げた後、本番に出し直した日と版を、いつ、どの方法で知らせてもらえるか
