Azure DevOps Serverに閲覧者が突ける脆弱性　「Patch 9」を当てる

米Microsoftは11月11日（日本時間）、開発の管理ツール「Azure DevOps」の脆弱性の公告を出した。プロジェクトを閲覧できるだけの攻撃者が、細工した通信でパイプラインを無断で動かし、ビルドやデプロイを実行する機械（パイプラインのエージェント）でコードを実行できる。自社のサーバーで動かす「Azure DevOps Server 2025」はPatch 9より前が当たり、Patch 9を当てる必要がある。クラウド版のAzure DevOpsは、公告の製品の一覧で状態が「修正済み（fixed）」になっている。

Patch 9より前の版が当たる

公告によると、影響と修正は次のとおりだ。

• 対象: Azure DevOps Server 2025の、Patch 9より前
• 修正: Patch 9。公告の更新の表は、Azure DevOps Server 2025の修正の版の欄を「Patch 9」としている
• 対象: Azure DevOps（クラウド版）。公告の製品の一覧は状態を「修正済み（fixed）」とし、利用者が入れる更新の入手先は載せていない。利用者の対応が要るかの欄は、クラウド版も「要」になっている
• CVE番号: CVE-2026-109467
• 深刻度: CVSS 3.1で9.9（Microsoftの評価）。公告の重要度の区分は「Important（重要）」
• 弱点の種類: CWE-287（不適切な認証）

公告のよくある質問によると、攻撃に要るのは、狙う組織で「Project Reader」（プロジェクトの閲覧者）の権限を持つことだけだ。その権限で細工した通信を送ると、認められていないパイプラインの実行を起こせる。成功すれば、パイプラインのエージェントでコードを実行できる。利用者の操作は要らない。CVSSの評価も、攻撃はネットワーク越しに行え、低い権限で足り、影響が脆弱な部品の外に及ぶとしている。公告は、2つの製品のどちらにも、利用者の側で対応が要ると記している。

NVDの記録によると、NVDは11月11日4時18分（日本時間）にこの番号を載せたが、独自の分析はまだで、状態は「分析待ち」だ。深刻度の数字は今のところMicrosoftの評価だけになる。攻撃のコードの有無などを加えた補足の評価では、点数は8.6に下がる。補足の評価は、公式の修正が既に出ており、脆弱性の報告も確かめられた段階だとしている。

当てたパッチの番号を見る

Azure DevOps Server 2025を自社で動かしているなら、最後に当てたパッチがPatch 9以上かを確かめる。Azure DevOps Serverのリリースノートでは、パッチは1から番号順に並び、11月11日の時点ではPatch 9が最も新しい。Patch 9の公開日は10月13日で、公告の約1か月前だ。10月13日以降にPatch 9を当てた環境は、既に直っている。

リリースノートのPatch 9の欄には、公開日と配布ファイルのハッシュ値が載っている。当てたパッチの番号をコマンドで確かめる方法は、リリースノートには載っていない。クラウド版について、公告は対応の欄を「要」としながら、利用者が入れる更新も、求める作業も書いていない。

公告によると、Project Readerの権限があれば攻撃の条件を満たす。プロジェクトの閲覧者に入っている人は、パッチを当てるまで全員がその条件に当たる。

Patch 9を当て、配布物を照らす

直し方はPatch 9を当てることだ。配布ファイルはWindowsの実行ファイル（devopsserverpatch9.exe）で、公告は入手先としてPatch 9の配布ファイルを挙げている。公告の更新の表は、再起動の要否の欄を「No（不要）」としている。リリースノートは、Patch 9がAzure DevOps Serverの脆弱性の修正を含むと書き、当てるよう勧める。

同じリリースノートは、配布ファイル「devopsserverpatch9」のSHA-256のハッシュ値を「8860146214BEC8D3BA685F79058EC88B735E4858569FE35477AC364CCFFFF875」と載せている。WindowsのPowerShellの一般的なコマンド「Get-FileHash」で、取ったファイルの値がこれと一致するかを見てから当てると、配布物の取り違えを防げる。

公告は、設定で避ける方法（回避策）を挙げていない。すぐにPatch 9を当てられない環境に向けた公式の手当ては無い。

悪用は確認されていない

公告は11月11日の公表の時点で、この脆弱性の悪用を「無し」、事前の公開も「無し」としている。CVSSの補足の評価でも、攻撃のコードは「未確認」の段階だ。米CISAの悪用を確認した脆弱性の一覧（KEV）にも、11月11日の時点で載っていない。

SAGUSの開発環境での確認

SAGUSは11月11日、開発に使うリポジトリの接続先と、パイプラインの設定ファイルを調べた。Azure DevOpsにつながるものは無く、リポジトリはGitHubに置いていた。この範囲では、Patch 9を当てる対象は見つかっていない。社員がクラウド版のAzure DevOpsの組織に入っているかは、この調べ方の範囲の外にある。

編集部の見方

編集部は、Azure DevOps Server 2025を自社で動かすチームは、今週中にPatch 9を当てたかを確かめるべきだと考える。攻撃に要るのはプロジェクトを閲覧できる権限だけで、閲覧者を広く入れている環境ほど、攻撃の条件を満たす人が多くなるからだ。エージェントで他人のコードが動けば、作る物や本番へ出す物に手が届き得る。悪用は確認されていないが、修正は10月13日から出ており、待つ理由は無い。クラウド版だけを使うチームは、公告が更新されて求める作業が加わらないかを見ておきたい。