CVE-2026-56165：Microsoft AccountのRCEは緩和済み、利用者の対応は不要

CVE-2026-56165は、Microsoft Account（Microsoft アカウント）に存在したヒープベースのバッファーオーバーフローにより、ネットワーク経由でリモートコード実行が可能になる脆弱性です。CVSS基本値は9.8で、深刻度は「Critical」に分類されています。

ただし、Microsoftはこの脆弱性をすでに完全に緩和しており、利用者側で行う作業はありません。Windows Updateの実行、Microsoft 365の設定変更、Microsoftアカウントの一斉パスワード変更などを、この脆弱性だけを理由に実施する必要はありません。個人利用者は通常どおりアカウントを利用でき、組織の管理者は「Microsoft側で緩和済み・顧客対応不要」と記録すればよいケースです。(Microsoft Security Response Center)

CVE-2026-56165の概要

CVE-2026-56165の主な情報は次のとおりです。

項目	内容
CVE番号	CVE-2026-56165
対象サービス	Microsoft Account
脆弱性の種類	ヒープベースのバッファーオーバーフロー
CWE	CWE-122
想定される影響	リモートコード実行
攻撃経路	ネットワーク
攻撃前に必要な権限	不要
ユーザー操作	不要
CVSS基本値	9.8／Critical
CVSSベクター	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
公開日	2026年7月23日
Microsoftの対応状況	完全に緩和済み
利用者側の対応	不要

NVDでは本脆弱性に「Exclusively Hosted Service」のタグが付けられており、Microsoftが運用するホスト型サービスに関係する脆弱性として扱われています。特定のWindowsバージョンや利用者向けKB番号は示されていません。(NVD)

Microsoft Accountとは

Microsoft Accountは、個人向けのMicrosoftアカウントです。Outlook.com、個人向けOneDrive、Xbox、Microsoft Store、個人向けMicrosoft 365などへのサインインに利用されます。

企業や学校が管理するMicrosoft Entraの職場または学校アカウントとは、同じMicrosoftのサインイン画面を利用することがあっても、アカウントの種類が異なります。したがって、CVE-2026-56165という情報だけを見て、すべてのMicrosoft 365テナントやMicrosoft Entra ID環境に緊急対応が必要だと判断するのは適切ではありません。(Microsoft サポート)

ただし、組織が外部ユーザーのゲスト招待などで個人のMicrosoftアカウントを利用している場合は、脆弱性管理台帳上の関連サービスとして記録してもよいでしょう。それでも、今回のCVEについて組織側でパッチや構成変更を行う必要はありません。

ヒープベースのバッファーオーバーフローとは

ヒープベースのバッファーオーバーフローは、プログラムが動的に確保したメモリー領域へ、確保した容量を超えるデータを書き込んでしまう問題です。

本来の領域を越えてデータが書き込まれると、隣接するメモリー上の情報が破壊される可能性があります。攻撃者が入力データを意図的に細工できる場合、単なる処理停止だけでなく、プログラムの動作を乗っ取って任意のコードを実行する攻撃につながることがあります。

CVE-2026-56165は、この問題がMicrosoft Accountのサービス処理に存在し、権限を持たない攻撃者によるネットワーク経由のコード実行につながる可能性がある脆弱性として登録されています。(NVD)

一方、公開情報では、問題が存在した具体的な処理、攻撃に使用するデータ形式、影響を受けた内部コンポーネントなどの詳細は示されていません。公開されていない部分を推測して、Windowsのサインイン機能や特定のMicrosoftアプリに問題があると断定しないことが重要です。

CVSS 9.8が示す深刻度

CVE-2026-56165のCVSS基本値は9.8です。これは、脆弱性が緩和されていない状態で悪用された場合の技術的な影響が非常に大きいことを示しています。

CVSS項目	評価	意味
AV:N	Network	ネットワーク経由で攻撃できる
AC:L	Low	攻撃に必要な条件が比較的少ない
PR:N	None	攻撃前の権限が不要
UI:N	None	利用者によるファイル操作やクリックが不要
S:U	Unchanged	影響範囲のセキュリティスコープは変更されない
C:H	High	機密性への影響が大きい
I:H	High	完全性への影響が大きい
A:H	High	可用性への影響が大きい

認証前の攻撃者がネットワーク経由でアクセスでき、利用者の操作も必要としないため、CVSSの評価上は非常に危険な条件がそろっています。(NVD)

ただし、CVSS 9.8は「利用者が今すぐパッチを適用しなければならない」という意味ではありません。CVSS基本値は脆弱性そのものの潜在的な技術的影響を評価する指標であり、次の要素までは単独で判断できません。

脆弱なシステムを誰が管理しているか
ベンダーによる緩和が完了しているか
利用者が適用できる更新プログラムが存在するか
自社環境に脆弱な製品が設置されているか
実際に攻撃可能な状態が残っているか

脆弱性対応では、CVSSの数値だけでなく、対象がオンプレミス製品なのかクラウドサービスなのか、ベンダーがどのような対応を案内しているのかを確認する必要があります。

深刻度がCriticalでも利用者の対応が不要な理由

CVE-2026-56165は、Microsoftが運用するMicrosoft Accountのホスト型サービスに関係する脆弱性です。利用者のパソコンや組織内のサーバーへ、脆弱なMicrosoft Accountのプログラムを直接インストールして運用しているわけではありません。

そのため、修正や緩和を実施する主体はMicrosoftです。

対象の例	システムの管理主体	一般的な脆弱性対応
WindowsやWindows Server	利用者・組織	Windows UpdateやKBを適用する
オンプレミス型サーバー製品	利用者・組織	更新プログラムのテストと展開を行う
Microsoftが運用するクラウドサービス	Microsoft	Microsoftがサービス側で修正・緩和する
今回のMicrosoft Account	Microsoft	Microsoftが緩和済みのため顧客対応不要

MicrosoftはCVE-2026-56165について、脆弱性を完全に緩和済みとし、サービス利用者が行う作業はないと案内しています。したがって、適用すべき更新プログラムを探したり、Microsoft Accountの利用を停止したりする必要はありません。(Microsoft Security Response Center)

なお、「完全に緩和済み」が必ずしもプログラムコードの修正だけを意味するとは限りません。サービス側の更新、問題のある処理の無効化、入力検証の強化、アクセス制御など、複数の方法が考えられます。今回どの方法が使用されたかは公開情報から確認できないため、具体的な緩和方法を断定するのは避けるべきです。

個人利用者が行うべきこと

個人のMicrosoft Account利用者は、CVE-2026-56165に対する特別な作業を行う必要はありません。

具体的には、次の対応は不要です。

このCVEだけを理由にパスワードを変更する
Windowsを初期化する
Microsoft Accountからローカルアカウントへ切り替える
OneDriveやOutlook.comの利用を停止する
XboxやMicrosoft Storeからサインアウトする
CVE番号に対応するWindows Updateを探す

ただし、これは日常的なアカウント保護まで不要という意味ではありません。Microsoft Accountの「最近のアクティビティ」では、過去30日間にいつ、どこからアカウントが使用されたかを確認できます。不審なサインインや、自分が行っていないセキュリティ情報の変更がある場合は、CVE-2026-56165とは別にアカウント保護を行ってください。(Microsoft サポート)

また、二段階認証を有効にすると、パスワードが第三者に知られた場合でも、別の確認手段を持たない攻撃者によるサインインを防ぎやすくなります。これは今回の脆弱性への必須対応ではなく、通常時から行っておきたいアカウント保護です。(Microsoft サポート)

組織のIT管理者が行うべきこと

企業や自治体などのIT管理者も、CVE-2026-56165について緊急パッチを展開する必要はありません。ただし、脆弱性管理の記録を残しておくと、監査や問い合わせに対応しやすくなります。

脆弱性管理台帳には「対応不要」と記録する

管理台帳には、次のように記録できます。

CVE番号：CVE-2026-56165
対象：Microsoft Account
脆弱性：ヒープベースのバッファーオーバーフロー
影響：リモートコード実行
CVSS：9.8
サービス形態：Microsoft管理のホスト型サービス
ベンダー対応：完全に緩和済み
顧客対応：不要
組織側の判断：追加作業なしとしてクローズ
再確認条件：MSRC情報の更新、または不審なアカウント活動の確認時

「CVSS 9.8のため未対応」とするのではなく、ベンダー緩和済みで顧客対応不要であることを根拠にクローズするのが実務上のポイントです。(Microsoft Security Response Center)

Windows端末のパッチ未適用として扱わない

CVE-2026-56165は、特定のWindows 10やWindows 11のビルドに対して、利用者がKBを適用する種類の脆弱性ではありません。

資産管理システムや脆弱性管理ツールへCVE情報を取り込む際は、次のように分類します。

対象資産：Microsoftのクラウドサービス
修正責任者：Microsoft
エンドポイントへのパッチ：なし
テナント設定変更：なし
残作業：公式情報の記録と通常監視

CVSSの数値だけを抽出する仕組みでは、Criticalの未対応脆弱性として表示される可能性があります。その場合は、MSRCの対応状況を確認し、手動で「ベンダー緩和済み」へ変更します。

ヘルプデスク向けの回答を統一する

利用者から「Microsoft Accountに重大な脆弱性があるが、パスワードを変えるべきか」と問い合わせを受けた場合は、次のように回答できます。

CVE-2026-56165は深刻度9.8の脆弱性ですが、Microsoftがサービス側で完全に緩和しており、利用者による更新やパスワード変更は不要です。不審なサインインが確認された場合のみ、通常のアカウント保護手順を実施してください。

このように、脆弱性そのものへの対応と、一般的なアカウント侵害への対応を分けて案内すると混乱を防げます。

対応が必要になるケース

現時点では利用者側の作業は不要ですが、次のケースでは別途対応が必要です。

Microsoftが公式情報を更新した場合

MSRCの情報が更新され、顧客側の設定変更や追加措置が案内された場合は、最新情報に従います。クラウドサービスの脆弱性は、公開後に説明やFAQが追記されることがあります。

不審なサインインが見つかった場合

自分が利用していない地域や端末からのサインイン、身に覚えのないパスワード変更、回復用メールアドレスの変更などがある場合は、CVEへの対応要否とは関係なくアカウントを保護します。

その場合は、最近のアクティビティを確認し、不正な操作を報告したうえで、パスワードやセキュリティ情報を更新します。(Microsoft サポート)

別のMicrosoft製品の脆弱性が検出された場合

Microsoft Accountの脆弱性が緩和済みでも、Windows、Microsoft Edge、Office、サーバー製品などに別の未対応脆弱性が存在する可能性はあります。

CVE番号と対象製品を混同せず、製品ごとに対応要否を判断してください。

よくある疑問

Windows Updateを実行すれば修正できますか

CVE-2026-56165に対して、利用者が適用する専用のWindows UpdateやKBは示されていません。Microsoftがサービス側で完全に緩和しているため、このCVEを目的とした更新操作は不要です。

ただし、Windows Updateには別の脆弱性修正が含まれるため、通常の更新運用は継続してください。

パスワードを変更したほうが安全ですか

CVE-2026-56165だけを理由にパスワードを変更する必要はありません。

ただし、最近のアクティビティに身に覚えのないサインインがある場合や、同じパスワードを他サービスでも使用している場合は、通常のアカウント保護として変更を検討します。

Microsoft 365管理センターで設定変更が必要ですか

Microsoftは利用者側の作業を不要としているため、このCVEに対応するMicrosoft 365管理センターやMicrosoft Entra管理センターの設定変更は必要ありません。

また、Microsoft Accountは基本的に個人向けアカウントであり、組織の職場または学校アカウントとは区別して判断する必要があります。(Microsoft サポート)

CVSS 9.8なのに対応不要として問題ありませんか

問題ありません。

CVSS 9.8は、脆弱性が悪用可能な状態で存在した場合の潜在的な影響を示します。一方、対応要否は、現在の緩和状況、サービスの管理主体、利用者が適用できる修正の有無を含めて判断します。

今回はMicrosoftが管理するサービスであり、Microsoft自身が完全に緩和済みとしているため、利用者側の追加作業は不要です。

CVE-2026-56165は対応不要として記録し、通常監視を継続する

CVE-2026-56165は、Microsoft Accountのヒープベースのバッファーオーバーフローにより、権限を持たない攻撃者がネットワーク経由でコードを実行できる可能性があった脆弱性です。CVSS基本値は9.8で、技術的な深刻度は高く評価されています。

しかし、Microsoftはすでに脆弱性を完全に緩和しており、利用者側のパッチ適用、設定変更、パスワード変更は不要です。

個人利用者は通常どおりサービスを利用し、組織の管理者は次の内容を記録して対応を完了できます。

Microsoft管理のホスト型サービスである
Microsoftによる完全な緩和が完了している
顧客側で適用する更新プログラムはない
顧客側の作業は不要である
通常のアカウント監視は継続する

CVSSの高さだけで緊急対応を決めず、対象サービスの運用形態とベンダーの対応状況を確認することが、過剰対応を避けるための重要な判断基準です。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。