2026年7月27日、Microsoft .NETおよびVisual Studioの複数の製品において、認証されていないリモート攻撃者がネットワーク経由でセキュリティ機能をバイパスできる重大な脆弱性（CVE-2026-47304）が公表されました。CVSS v3の基本値は9.8（緊急）と評価されており、機密性、完全性、可用性の全てに深刻な影響を与える恐れがあります。本脆弱性は暗号署名の不適切な検証に起因し、速やかなセキュリティ更新プログラムの適用が強く推奨されます。
今すぐ行う対策
- ✓公式情報で確認できる修正版へ更新する
- ✓更新までの公式回避策を適用する（現時点での公式回避策は発表されていません）
- ✓侵害の兆候を確認する
脆弱性の概要と影響範囲
本脆弱性CVE-2026-47304は、Microsoft .NETにおける暗号署名の不適切な検証（CWE-347）およびデータの信頼性についての不十分な検証（CWE-345）に起因します。これにより、攻撃者はネットワークを介して認証メカニズムを含むセキュリティ機能を回避し、システムを不正に操作する可能性があります。 影響を受ける製品は広範囲にわたり、以下のバージョンが含まれます。
・.NET 10.0.0 以上 10.0.6 未満
・.NET 8.0.0 以上 8.0.29 未満
・.NET 9.0.0 以上 9.0.18 未満
・Microsoft .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8, 4.8.1
・Microsoft Visual Studio 2026 18.7.0 以上 18.7.4 未満, 18.5.0
・Visual Studio 2017 15.0 から 15.9
・Visual Studio 2019 16.0 から 16.11
・Visual Studio 2022 17.12.0 以上 17.12.22 未満, 17.14.0 以上 17.14.36 未満
具体的な影響・攻撃シナリオ
この脆弱性が悪用された場合、認証されていない攻撃者がネットワーク経由で対象のソフトウェアに不正アクセスし、セキュリティ機能をバイパスすることが可能です。これにより、ソフトウェアが扱う全ての情報が外部に漏洩したり、改ざんされたりする恐れがあります。また、最悪の場合、サービスが完全に停止させられる可用性への影響も懸念されます。 現在、本脆弱性の「実際に攻撃が観測されているか（Active Exploitation）」については具体的な情報は公開されていませんが、その深刻度から早急な対策が求められます。
対応手順と確認方法
Microsoft社から提供されているセキュリティ更新プログラムを速やかに適用してください。詳細な手順については、Microsoft社のセキュリティ更新プログラムガイドを参照し、お使いの製品バージョンに応じた適切なパッチを適用することが不可欠です。システムが更新されたことを確認し、定期的なセキュリティ監査を実施して不審な活動がないか監視することも重要です。
📦