Microsoft Entra Connect Syncを利用している場合、CVE-2026-65673への対応は、インストール済みバージョンを2.6.84.0以降へ更新することです。2.6.84.0未満は影響を受けるため、Windows Serverの累積更新だけを適用しても、この脆弱性への対策は完了しません。
CVE-2026-65673は、SQLインジェクションによって、認証済みのローカル攻撃者がEntra Connectサーバー上で権限を昇格できる脆弱性です。MSRCの公開時点では、実際の悪用も脆弱性情報の事前公開も確認されておらず、悪用可能性は「低い」と評価されています。ただし、Microsoft Entra ConnectサーバーはID基盤を扱う重要なサーバーです。悪用報告がないことを理由に更新を見送るべきではありません。(Microsoft Security Response Center)
この記事では、影響を受ける環境の判定方法、2.6.84.0以降への更新手順、更新後の確認項目、すぐに更新できない場合の暫定対策を整理します。
CVE-2026-65673：Entra Connectの権限昇格は2.6.84.0で修正
CVE-2026-65673の概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 対象製品 | Microsoft Entra Connect Sync |
| 脆弱性の種類 | SQLインジェクション（CWE-89） |
| 想定される影響 | ローカルでの権限昇格 |
| 攻撃に必要な条件 | 対象サーバー上で認証済みの攻撃者が操作できること |
| CVSS 3.1 | 7.8、High |
| ユーザー操作 | 不要 |
| 実際の悪用 | MSRC公開時点では確認なし |
| 情報の事前公開 | MSRC公開時点では確認なし |
| 悪用可能性 | Exploitation Less Likely |
| 影響を受けるバージョン | 2.6.84.0未満 |
| 修正版 | 2.6.84.0以降 |
| 公式の回避策 | 更新以外の回避策は示されていない |
Microsoftは、セキュリティ修正を含むMicrosoft Entra Connect Sync 2.6.84.0を2026年7月7日にMicrosoft Entra管理センターからダウンロードできる状態で公開し、できるだけ早い更新を推奨しています。(Microsoft Learn)
インターネットから直接攻撃される脆弱性ではない
CVE-2026-65673は、外部から認証なしで直接攻撃できるタイプではありません。攻撃元区分はローカルであり、攻撃者は先にEntra Connectサーバーへログオンするか、何らかの方法でサーバー上のコードを実行できる状態を作る必要があります。
典型的には、次のような攻撃の後段で利用される可能性があります。
- 一般ユーザーや運用アカウントの認証情報が盗まれた
- RDPや管理用ジャンプサーバーが侵害された
- 別の脆弱性を使ってEntra Connectサーバー内へ侵入された
- サーバー上で動作する運用ツールやスクリプトが改ざんされた
- 委託先や内部関係者に過剰なログオン権限が付与されていた
したがって、「サーバーをインターネットへ公開していないから安全」とは判断できません。ローカル権限昇格は、侵入済みの攻撃者が制限された権限から管理権限へ移るために使う脆弱性です。
悪用可能性が低くても更新を優先すべき理由
Microsoftは、Entra ConnectサーバーをActive Directoryの管理階層におけるTier 0、現在の考え方ではControl Plane資産として扱うよう推奨しています。管理アクセスをドメイン管理者または厳格に制御されたグループへ限定し、通常業務用アカウントで操作しないことも推奨事項に含まれます。(Microsoft Learn)
Entra Connectサーバーが侵害された場合、攻撃者が直ちにActive Directoryドメイン全体やMicrosoft Entra IDテナント全体を制御できるとまでは断定できません。しかし、同期構成、接続情報、サービスアカウント、パスワードハッシュ同期や書き戻し機能などに関係する重要なサーバーであるため、一般的な業務サーバーより厳しく扱う必要があります。
「悪用可能性が低い」という評価は、更新不要を意味するものではありません。緊急停止を伴う即時対応が必要かを判断する材料にはなりますが、修正版への更新を省略する根拠にはなりません。
自社環境が影響を受けるか確認する
判定基準は単純です。
| インストール済みバージョン | 判定 | 対応 |
|---|---|---|
| 2.6.84.0以降 | CVE-2026-65673は修正済み | 同期状態と構成を確認 |
| 2.6.79.0 | 使用を継続しない | アンインストール後、2.6.84.0以降を導入 |
| 2.6.3.0以前 | 影響を受ける | 2.6.84.0以降へ更新 |
| バージョン不明 | 判定不能 | サーバーごとに確認 |
| Entra Connect Syncを使用していない | 原則として対象外 | Cloud Syncなど別製品の更新状況を確認 |
2.6.79.0はリリース後に問題が確認され、インストーラーが撤回されています。Microsoftは、2.6.79.0をインストールした環境に対して、アンインストールして2.6.84.0を導入するよう案内しています。(Microsoft Learn)
PowerShellでバージョンを確認する
Entra Connectサーバー上で、次のPowerShellを実行します。
$binary = Join-Path $env:ProgramFiles `
'Microsoft Azure AD Sync\Bin\miiserver.exe'
$fixedVersion = [version]'2.6.84.0'
if (-not (Test-Path $binary)) {
Write-Warning 'Microsoft Entra Connect Syncを検出できませんでした。'
return
}
$installedVersion = [version](
(Get-Item $binary).VersionInfo.FileVersion
)
Write-Host "インストール済み: $installedVersion"
Write-Host "修正済み基準: $fixedVersion"
if ($installedVersion -lt $fixedVersion) {
Write-Warning '要更新：CVE-2026-65673の影響範囲です。'
} else {
Write-Host '修正済み：2.6.84.0以降です。'
}GUIでは、Windows Serverの「設定」から「アプリ」を開くか、「プログラムと機能」でMicrosoft Entra Connectのバージョンを確認できます。
すべてのEntra Connectサーバーを確認する
確認対象はアクティブサーバーだけではありません。次のサーバーをすべて洗い出してください。
- 現在同期を実行しているアクティブサーバー
- ステージングモードの待機系サーバー
- 災害復旧用として停止しているサーバー
- 検証環境や移行途中のサーバー
- 旧Azure AD Connectとして残っているサーバー
ステージングモードではMicrosoft Entra IDへのエクスポートが抑止されますが、Entra Connect Sync自体はインストールされています。サーバーへローカルアクセスできる状態であれば、脆弱なバージョンを残すべきではありません。
停止中の待機系サーバーは、再稼働前に更新します。古いサーバーを廃止したのであれば、誤って再起動されないよう、製品のアンインストールまたは仮想マシンの完全削除まで行うことが重要です。Microsoftも、旧同期サーバーがネットワーク上に残ると、古い情報をMicrosoft Entra IDへ再度書き込む原因になり得ると注意しています。(Microsoft Learn)
Microsoft Entra Cloud Syncとは分けて判断する
CVE-2026-65673の対象として明記されているのは、Microsoft Entra Connect Syncです。
Microsoft Entra Cloud Syncで使用するプロビジョニングエージェントは別の製品です。Cloud Syncだけを利用しており、Entra Connect Syncを導入していない環境では、このCVEを理由にEntra Connectを新たに導入する必要はありません。
ただし、過去にEntra ConnectからCloud Syncへ移行した環境では、旧Entra Connectサーバーが残っていないか確認してください。
自動アップグレードが有効でも実バージョンを確認する
自動アップグレードの状態は、Entra Connectサーバー上で次のコマンドを実行すると確認できます。
Import-Module ADSync
Get-ADSyncAutoUpgrade主な状態は次のとおりです。
| 状態 | 意味 |
|---|---|
| Enabled | 自動アップグレードが有効 |
| Disabled | 自動アップグレードが無効 |
| Suspended | 構成や環境上の理由で保留されている |
| 取得できない | ADSyncモジュール、サービス、インストール状態を確認 |
ただし、Enabledと表示されても、2.6.84.0が適用済みとは限りません。Microsoft Entra Connectのすべてのリリースが自動アップグレード対象になるわけではなく、自動アップグレードで配信されるバージョンが常に最新とは限りません。(Microsoft Learn)
CVE対応では、自動アップグレード設定ではなく、実際にインストールされているバージョンが2.6.84.0以上かを基準にしてください。
更新方法はインプレースとスウィング移行から選ぶ
Microsoft Entra Connect Syncの主な更新方法は、インプレースアップグレードとスウィング移行です。
| 更新方法 | 向いている環境 | メリット | 注意点 |
|---|---|---|---|
| インプレース | 単一サーバー、比較的単純な構成、同期対象が約10万オブジェクト未満 | 追加サーバーが不要で作業が早い | 問題発生時に旧環境へ戻しにくい |
| スウィング移行 | 重要な本番環境、複雑な同期規則、大規模環境、OS更新を伴う場合 | 新サーバーで事前検証でき、切り替えリスクを抑えられる | 別サーバーが必要 |
| 自動アップグレード | 自動更新の対象となる簡易構成 | 管理者の作業が少ない | 最新版とは限らず、適用時期も制御しにくい |
Microsoftは、長期間更新していない環境や、サーバーの運用期間が長い環境では、より保守的で安全な方法としてスウィング移行を検討するよう案内しています。インプレースアップグレードは、単一サーバーかつ約10万オブジェクト未満の環境で選択しやすい方法です。(Microsoft Learn)
インプレースアップグレードを選びやすいケース
次の条件に多く当てはまる場合は、インプレースアップグレードを選択しやすくなります。
- Entra Connectサーバーが1台だけ
- 比較的新しい2.xから更新する
- 同期規則のカスタマイズが少ない
- 外部SQL Serverや独自コネクタを使用していない
- 数時間の保守時間を確保できる
- 問題発生時に同期停止を許容できる
- 構成のエクスポートと復旧手順を準備できる
スウィング移行を選ぶべきケース
次の場合は、別サーバーを用意するスウィング移行が適しています。
- Entra Connectが認証やID連携の重要基盤になっている
- ステージングサーバーをすでに運用している
- 1年以上アップグレードしていない
- Windows Serverの更新や置き換えも行いたい
- 同期対象が多く、完全同期に長時間かかる
- 独自の同期規則やOUフィルタリングが多い
- パスワードライトバックなど複数の機能を利用している
- インプレース更新後の切り戻しが難しい
更新前に確認しておく項目
更新作業を開始する前に、次の項目を確認します。
| 確認項目 | 実務上のポイント |
|---|---|
| サーバー構成 | アクティブ、ステージング、停止中の待機系を一覧化する |
| 現在のバージョン | 全サーバーで確認する |
| 同期状態 | 更新前から存在するエラーを記録する |
| 構成エクスポート | JSONファイルを安全な場所へ保存する |
| 同期規則 | 標準規則を直接変更していないか確認する |
| 構成ファイル | miiserver.exe.configなどの手動変更を確認する |
| 認証方式 | PHS、PTA、フェデレーション、シームレスSSOを記録する |
| 書き戻し機能 | パスワード、デバイス、グループなどの利用状況を確認する |
| 前提条件 | TLS 1.2、.NET Framework、空き容量を確認する |
| 保守時間 | 完全インポートや完全同期が発生してもよい時間を確保する |
| 管理資格情報 | 必要なオンプレミスADおよびEntra IDの管理資格情報を準備する |
現在の構成をエクスポートする
Microsoft Entra Connectウィザードを開き、「現在の構成の表示またはエクスポート」を選択して、構成をJSON形式で保存します。
既定では、ウィザードによる構成変更時に次のフォルダーへ設定ファイルが保存されます。
%ProgramData%\AADConnectただし、自動的に保存されるのは、Microsoft Entra Connectウィザードを使って行った変更です。PowerShell、Synchronization Service Manager、Synchronization Rules Editorで加えた変更は、必ずしも自動エクスポートへ反映されません。更新前に手動で最新構成をエクスポートし、別の保護された保存先へコピーしてください。(Microsoft Learn)
標準同期規則を直接変更している場合は注意する
Microsoftが提供する標準同期規則を直接編集していると、アップグレード時に既定値へ戻される可能性があります。
独自の処理が必要な場合は、標準規則を直接変更するのではなく、標準規則を無効化したうえで、別のカスタム規則として作成する設計が基本です。既存環境で標準規則を変更している場合は、更新前にSynchronization Rules Editorから内容を記録またはエクスポートしてください。(Microsoft Learn)
Entra Connectを2.6.84.0以降へ更新する手順
Microsoft Entra管理センターから最新版を取得する
Microsoft Entra Connect Syncのインストーラーは、Microsoft Entra管理センターのEntra Connect管理画面から取得します。
セキュリティ修正を含む最新版が2.6.84.0より新しくなっている場合は、原則としてその最新版を選びます。CVE対応上の最低条件は2.6.84.0ですが、古い修正版へ固定する理由がなければ、Microsoftが公開している最新のサポート対象バージョンを使用する方が安全です。(Microsoft Learn)
ダウンロード後は、ファイルのプロパティからデジタル署名を確認し、Microsoftが署名した正規のインストーラーであることを確認します。非公式なミラーサイトや、過去に保存したインストーラーは使用しないでください。
インプレースアップグレードの手順
単一サーバーをそのまま更新する場合は、次の順序で進めます。
- 現在の同期状態とエラーを記録する
- 現在の構成をエクスポートする
- カスタム同期規則と構成ファイルの変更を記録する
- 保守時間内であることを確認する
- 最新版のEntra Connectインストーラーを管理者として実行する
- 既存インストールのアップグレードとして進める
- ウィザードに表示される構成変更を確認する
- 同期開始の設定を確認してインストールを完了する
- 再起動を求められた場合はサーバーを再起動する
- バージョン、サービス、同期状態を確認する
更新中は通常のデルタ同期スケジューラーが一時停止します。ただし、構成変更の内容によっては、更新完了後に完全インポートや完全同期が実行されることがあります。同期対象が多い環境では数時間かかる可能性があるため、業務時間外の実施が適しています。(Microsoft Learn)
同期をすぐ開始したくない場合
更新後の完全同期を別の時間帯に実施したい場合は、ウィザード完了時の「構成の完了時に同期プロセスを開始する」に相当する設定を無効にします。
ただし、必要な完全インポートや完全同期を無期限に先送りしてはいけません。同期を再開する前に、コネクタごとの要求状態とメンテナンス計画を確認してください。
スウィング移行の手順
ステージングサーバーがある環境では、次の流れで更新します。
- ステージングサーバーを2.6.84.0以降へ更新する
- アクティブサーバーと同じ構成を適用する
- ステージングサーバーで完全インポートと完全同期を実行する
- 保留中のエクスポート内容を確認する
- 予期しない追加、変更、削除がないことを確認する
- 現在のアクティブサーバーをステージングモードへ変更する
- 更新済みサーバーのステージングモードを解除する
- 新しいアクティブサーバーで同期を確認する
- 旧アクティブサーバーも2.6.84.0以降へ更新する
- アクティブとステージングの両方を同一バージョンへそろえる
同じMicrosoft Entra IDテナントへエクスポートするアクティブな同期サーバーは、原則として1台だけにします。切り替え順序を誤って2台が同時にアクティブになると、同期結果の競合や予期しない属性変更につながるため注意してください。(Microsoft Learn)
更新後に必ず確認する項目
インストーラーが正常終了しただけでは、作業完了とは判断できません。
バージョンとサービスを確認する
$binary = Join-Path $env:ProgramFiles `
'Microsoft Azure AD Sync\Bin\miiserver.exe'
$version = [version](
(Get-Item $binary).VersionInfo.FileVersion
)
Write-Host "Microsoft Entra Connect Sync: $version"
Get-Service ADSync
Import-Module ADSync
Get-ADSyncScheduler |
Format-List `
SyncCycleEnabled,
StagingModeEnabled,
NextSyncCycleStartTimeInUTC次の状態を確認します。
- バージョンが2.6.84.0以上
ADSyncサービスがRunning- アクティブサーバーで
SyncCycleEnabledが有効 - アクティブとステージングの役割が想定どおり
- 次回同期時刻が表示される
- 不要なスケジューラー停止が残っていない
同期サイクルを確認する
Synchronization Service Managerを開き、「Operations」で次の処理を確認します。
- Active DirectoryからのImport
- Microsoft Entra IDからのImport
- Synchronization
- Microsoft Entra IDへのExport
- 書き戻しを使用している場合のActive DirectoryへのExport
各処理がsuccessで完了しているか、更新前には存在しなかったエラーが発生していないかを確認します。
アクティブサーバーでデルタ同期を実行する場合は、次のコマンドを使用できます。
Import-Module ADSync
Start-ADSyncSyncCycle -PolicyType Deltaステージングサーバーでは、同期処理を実行してもMicrosoft Entra IDへのエクスポートは行われません。切り替え前の検証では、保留中のエクスポート内容を確認し、大量削除や予期しない属性変更がないことを確認してください。
利用している機能ごとに動作を確認する
組織が利用している機能だけを選び、実際にテストします。
| 利用機能 | 確認内容 |
|---|---|
| パスワードハッシュ同期 | オンプレミスで変更したパスワードがクラウド認証へ反映される |
| パススルー認証 | テストユーザーが正常にサインインできる |
| シームレスSSO | ドメイン参加端末から想定どおりSSOできる |
| パスワードライトバック | クラウド側のパスワード変更がADへ反映される |
| グループライトバック | 対象グループが正しくADへ反映される |
| Exchangeハイブリッド | 必要な属性が正しく同期される |
| Entra Connect Health | 新しいアラートや同期遅延がない |
| OUフィルタリング | 対象外OUのオブジェクトが追加されていない |
| カスタム同期規則 | 想定した属性変換が維持されている |
2.6.84.0では、バンドルされるSQL LocalDBがSQL Server 2019からSQL Server 2022へ更新されています。また、パスワードハッシュ同期の自己復旧動作などにも変更があります。単なる小規模な脆弱性パッチではないため、同期機能の実動作まで確認してください。(Microsoft Learn)
更新時に失敗しやすいポイント
Windows Updateだけで対応したと思い込む
CVE-2026-65673の修正は、Microsoft Entra Connect Sync 2.6.84.0以降に含まれます。
Windows Serverの累積更新、Microsoft Defenderの定義更新、SQL Serverの単独更新だけでは、Entra Connect Sync本体のバージョンは上がりません。必ず製品バージョンを確認してください。
自動アップグレードの設定だけを確認する
Get-ADSyncAutoUpgradeがEnabledでも、修正版が導入済みとは限りません。
脆弱性対応の証跡には、次の情報を残します。
- サーバー名
- アクティブまたはステージングの役割
- 更新前バージョン
- 更新後バージョン
- 更新実施日時
- 作業担当者
- 同期確認結果
- Entra Connect Healthの状態
- 問題発生時の対応内容
アクティブサーバーだけを更新する
ステージングサーバーや災害復旧用サーバーを古いまま残すと、切り替え時に脆弱なバージョンが再び稼働します。
アクティブとステージングは、可能な限り同じサポート対象バージョンへそろえてください。
2.5.79.0を修正版と誤解する
Microsoftは、2026年9月30日までに最低でも2.5.79.0へ更新しなければ、Entra Connect Syncの同期サービスが停止すると案内しています。
ただし、2.5.79.0はサービス継続の最低条件であり、CVE-2026-65673の修正版ではありません。
- 2.5.79.0：サービス停止を回避するための最低バージョン
- 2.6.84.0：CVE-2026-65673を修正する最低バージョン
これから更新するのであれば、2.5.79.0で止めず、2.6.84.0以降へ更新します。(Microsoft Learn)
2.6.79.0を使用し続ける
2.6.79.0は、2.6.84.0より数字が近いため修正版に見えますが、Microsoftによってインストーラーが撤回されています。
2.6.79.0を使用している場合は、そのまま運用を続けず、Microsoftの案内に従ってアンインストールし、2.6.84.0以降を導入してください。(Microsoft Learn)
更新前から存在する同期エラーを見落とす
更新前の同期エラーを記録していないと、更新後に発見したエラーがアップグレードによるものか、以前から存在したものか判断できません。
少なくとも次の情報を更新前後で比較します。
- Operations画面の最新実行結果
- Connectorごとのエラー件数
- 保留中のExport件数
- Entra Connect Healthのアラート
- WindowsのApplicationログ
- 同期対象オブジェクト数
- 削除予定オブジェクト数
すぐに更新できない場合の暫定対策
Microsoftは、2.6.84.0以降への更新に代わる公式回避策を示していません。そのため、次の対策はあくまで悪用条件を作りにくくするための暫定措置です。
- Entra Connectサーバーへログオンできるアカウントを最小限にする
- ローカルAdministratorsグループのメンバーを点検する
- 通常の利用者やヘルプデスク担当者のRDPログオンを禁止する
- Tier 0専用の管理アカウントと管理端末を使用する
- Entra Connectサーバーでメール閲覧やWebブラウジングを行わない
- 不要なソフトウェア、管理エージェント、スクリプトを削除する
- EDRやMicrosoft Defenderでプロセス生成と不審な操作を監視する
- Windowsログオン、サービス変更、タスク作成、PowerShell実行を監視する
- 管理用ネットワークまたはジャンプサーバーからのみ接続を許可する
- 更新予定日と責任者を決め、暫定対策のまま放置しない
Microsoftも、Entra Connectサーバーへの管理アクセスを厳しく制限し、Control Plane資産として保護することを推奨しています。(Microsoft Learn)
すでに不審なローカルログオン、未知のサービス、スケジュールタスク、PowerShell実行、Entra Connect構成の変更が確認されている場合は、単なるアップデート作業として処理してはいけません。組織のインシデント対応手順に従ってサーバーを調査し、必要に応じて隔離、資格情報の変更、接続アカウントや証明書の再発行を検討します。
修正版の導入は新たな悪用を防ぐための対応であり、更新前に侵入した攻撃者や永続化された不正設定を自動的に除去するものではありません。
CVE-2026-65673対応で実施すべきこと
Microsoft Entra Connect Syncを利用している組織は、まずアクティブ、ステージング、災害復旧用を含む全サーバーのバージョンを確認します。
2.6.84.0未満であれば、Microsoft Entra管理センターから入手した2.6.84.0以降へ更新してください。単純な環境ではインプレースアップグレードを利用できますが、重要度の高い本番環境、長期間更新していない環境、複雑な同期規則を持つ環境では、ステージングサーバーを利用したスウィング移行が安全です。
更新後は、バージョンだけでなく、ADSyncサービス、スケジューラー、Import、Synchronization、Export、パスワード同期、書き戻し、Entra Connect Healthまで確認します。
公式の回避策はないため、アクセス制限や監視強化だけで対応を完了させてはいけません。最終的な完了条件は、すべてのMicrosoft Entra Connect Syncサーバーが2.6.84.0以降になり、同期が正常に継続していることです。
コメント