Microsoft 365 Copilotに「1クリックでデータ窃取」の脆弱性チェーン ― CVE-2026-42824、パッチ適用済み

Microsoftはこの脆弱性をサーバーサイドで修正済みであり、ユーザー側の対応は不要と報告されている。以下はセキュリティ企業Varonisが開示した攻撃手法の解説である。

3行まとめ

1. セキュリティ企業Varonisが、Microsoft 365 Copilotの脆弱性チェーン「SearchLeak」（CVE-2026-42824）を開示した（正確な開示日は確認できていない。詳細は末尾の但し書き参照）
2. プロンプトインジェクション・HTMLレンダリングの競合状態・Bing経由のSSRFを連鎖させ、メール・カレンダー・SharePointファイル・MFAコードを1クリックで窃取できる攻撃だった
3. Microsoftはサーバーサイドでパッチを適用済みであり、ユーザー側の操作は不要

何が見つかったか

BleepingComputerの報道によると、セキュリティ企業Varonisは「SearchLeak」と名付けた脆弱性チェーンをMicrosoftに報告し、CVE-2026-42824が割り当てられた。

この攻撃は3つの脆弱性を連鎖させるもので、単体では成立しない。

CVSSスコアは6.5、ただしMicrosoftの深刻度ラベルは「Critical」

MicrosoftのSecurity Update Guide（MSRC）でCVE-2026-42824のアドバイザリを確認した（確認日2026年8月14日）。公表されている値は以下の通り。

基本スコア6.5はCVSS 3.1の区分では「Medium（4.0〜6.9）」の帯に入るが、Microsoftが付けた深刻度ラベルは最大の「Critical」である。CVSS 3.1の仕様書によると、Impact Sub Score（ISS）は「1−(1−機密性)×(1−完全性)×(1−可用性)」という積の式で求まり、3項目を単純に合算するわけではない。この脆弱性は機密性のみが高く（C:H＝0.56）、完全性・可用性への影響はない（I:N／A:N＝0）。積の式ではI・Aが0だと(1−0)=1を掛けるだけになるためISSは押し下げられず、結果としてISSはC:H単独の値（0.56）のままでスコアが伸びない。加えて被害者のクリックを必要とする（UI:R）ことも減点要因になる。CVSSの数値は「何がどれだけ壊れるか」を測る尺度であって、「漏れるデータがどれだけ重要か」は測らない。MFAコードや給与情報が読み取られる事態の重大さは、6.5という数字ではなく Critical というラベルの側に表れている。

ベクタ文字列の各記号は次の意味を持つ。防御側が優先度を判断する材料としては、合算された1つの数値より、この内訳のほうが情報量が多い。

攻撃チェーンの仕組み（簡易解説）

技術的な詳細を簡略化すると、攻撃は以下の3段階で構成されていたと報告されている。

1. プロンプトインジェクション（入口）

攻撃者が細工したURLをユーザーに送る。ユーザーがそのリンクをCopilotに読み込ませると、URL内に埋め込まれた命令文がCopilotの動作を書き換える。AIに対する「なりすまし指示」のようなものだ。

Varonisの開示記事によれば、この入口はMicrosoft 365 Copilot Enterpriseの検索機能のURLに含まれるqパラメータである。同社は「The URL q parameter in Copilot Enterprise Search is passed directly to Copilot as an executable prompt」（Copilot Enterprise Searchのqパラメータは、実行可能なプロンプトとしてCopilotへ直接渡される）と説明している。検索キーワードを入れるための入力欄が、そのまま命令の投入口になっていたことになる。

なお攻撃に使われるリンクのドメインはmicrosoft.comであるため、送信元ドメインの評価でフィッシングを弾く仕組みはこのリンクを不審と判定しない。

2. HTMLレンダリングの競合状態（すり抜け）

Microsoft 365 Copilotには、危険なHTMLコンテンツを表示前にフィルタリングする仕組みがある。しかし、レンダリング処理のタイミングの隙（競合状態）を突くことで、本来ブロックされるはずの隠し要素をすり抜けて表示させることができたと報告されている。

Varonisの説明によると、隙が生まれる順序はこうである。Copilotは回答を一度に出さず、生成しながら少しずつ流して表示する（ストリーミング）。その途中に<img>タグが現れると、ブラウザは生成の完了を待たずに即座に画像を取りに行く。一方、無害化のガードレールが働いて<code>タグで全体を囲み無効化するのは、Copilotが生成を終えた後である。画像の取得リクエストは、無害化が間に合う前に既に飛んでいる。防御そのものは存在していたが、発動が一手遅かった。

3. Bing SSRFによるデータ送出（出口）

すり抜けた隠し要素にはBingの画像検索リクエストが仕込まれていた。Copilotがこのリクエストを実行すると、ユーザーのメールやカレンダーの内容がURLパラメータに載せて攻撃者のサーバーに送信される。いわゆるSSRF（サーバーサイド・リクエスト・フォージェリ）の応用で、Copilot自身が「内部から外部へデータを持ち出す運び屋」にされる構造だった。

Varonisが挙げている送出先はhttps://www.bing.com/images/searchbyimage?cbir=sbi&imgurl=[攻撃者のURL]という画像検索の入口である。Bingのバックエンドは、渡された画像URLを解析するためにサーバー側から実際に取得しに行く。この「Bingが代わりに取りに行く」動作が、攻撃者サーバーへデータを届ける脚になる。被害者のブラウザから直接怪しいドメインへ通信が出るわけではないため、外向き通信の宛先を監視する防御にも引っかかりにくい。

どの条件が揃うと成立し、どこまでは及ばなかったか

二次報道では「1クリックで窃取」という結論だけが伝わりやすいが、防御側にとって実用的なのは成立条件のほうである。Varonisの開示記事とMSRCのベクタから読み取れる範囲を整理する。

成立に必要だった条件

• 被害者が攻撃者のリンクをクリックすること（UI:R）。裏を返せば、クリックが発生しなければこのチェーンは始まらない
• 対象はMicrosoft 365 Copilot Enterpriseの検索機能。入口はそのURLのqパラメータ
• クリック後の追加操作は不要。Varonisは「The victim doesn't type anything. They click a link, and Copilot does the rest.」（被害者は何も入力しない。リンクをクリックするだけで、あとはCopilotがやる）と書いている
• 攻撃者側の事前準備として、アカウント・認証・プラグイン導入・特別な権限設定はいずれも不要。Varonisは「No plugins, no special permissions, no second click」と明記している

及ばなかった範囲

• データの改ざんは起きない（I:N）。サービス停止も起きない（A:N）。読み取り専用の漏洩である
• 権限境界を越えない（S:U）。攻撃者が得られるのは被害者本人がアクセスできるデータまでで、被害者以上の権限に昇格するわけではない。Varonisの表現では「attacker effectively inherits the victim's access」（攻撃者は事実上、被害者のアクセス権を引き継ぐ）にとどまる
• MSRCは公開時点で悪用の観測なし（Exploited: No）、一般公開なし（Publicly Disclosed: No）と記載している

なお「どのプラン・どのテナント設定なら影響を受けなかったか」は、確認した一次情報のどちらにも書かれていない。Varonisの記事はCopilot Enterpriseが対象だと述べているが、個人向けCopilotが影響を受けなかったとは明言していない。ここは未確認として扱う。

窃取できたデータの範囲

BleepingComputerの報道によると、この攻撃チェーンが成功した場合に窃取可能だったデータは以下の通り。

• メールの件名・本文
• カレンダーの予定
• SharePoint上のファイル内容
• ライブMFAコード（多要素認証のワンタイムパスワード）

MFAコードが窃取対象に含まれていた点は、アカウント乗っ取りに直結しうるため深刻度が高いと指摘されている。

パッチ状況

Microsoftはサーバーサイドで修正を適用済みであり、ユーザーやIT管理者がパッチを手動で適用する必要はないと報告されている。

MSRCのアドバイザリにも、この脆弱性はMicrosoft側で完全に緩和済みであり、利用者側の対応は不要である旨が記載されている。MSRCはこのアドバイザリを、クラウドサービスの脆弱性を透明性のために開示する枠組みとして公開している。公開日は2026年6月4日である。

OWASPが警告するAIエージェントの脅威との関連

この脆弱性チェーンの入口であるプロンプトインジェクションは、OWASPが「エージェント型AIの脅威 第1位」にランク付けしている攻撃手法である。

AIエージェントがメール・カレンダー・ファイルなど広範なデータにアクセスできる設計は利便性の源泉だが、同時にプロンプトインジェクションが成功した場合の被害範囲を拡大させる。SearchLeakは、この構造的リスクが実環境で攻撃チェーンとして成立した事例にあたる。

エージェントの自律性を広げる動きは他社でも進んでいる。Claude Codeは2026年8月14日から、危険なコマンドの承認を人間からAI分類器へ委ねる「autoモード」をデフォルトにした（Claude Code、autoモードがデフォルトに）。承認をAIに委ねる設計が広がるほど、SearchLeakのような攻撃チェーンが見つかった際に被害範囲をどう限定するかが、業界共通の課題になる。

正直に言うと

• この脆弱性は修正済みであり、現時点で同じ攻撃は成立しない
• ただし、AIエージェントが多くのデータソースにアクセスする設計が続く限り、類似の攻撃チェーンが今後も発見される可能性は残る
• プロンプトインジェクションの根本的な解決策（AIが「データ」と「命令」を完全に区別する仕組み）はまだ確立されていない
• Microsoft 365 Copilotを業務利用している組織は、Copilotがアクセスできるデータ範囲の棚卸しを検討する価値がある
• CVSSの基本スコア6.5だけを見て優先度を下げる判断には注意が要る。数値が伸びなかったのは改ざん・停止が起きないためであり、漏れうるデータの機微さは数値に反映されていない
• 攻撃の起点が「検索欄に相当するURLパラメータ」だった点は、Copilot固有の話とは限らない。ユーザー入力をそのままモデルへの命令として渡す設計は他のAI製品にも見られる構造だが、どの程度広く存在するかは本記事では検証していない

プロンプトインジェクションを含むLLM特有のリスク分類そのものについては、OWASP LLM Top 10の全10カテゴリを整理した記事で扱っている。

報告日と修正完了日の順序は推定せずに書いた

本記事は2026年6月21日時点の情報をもとに、2026年8月14日にMSRCとVaronisの一次情報を参照して加筆した。

• CVSSスコア・ベクタ文字列・深刻度ラベル・公開日・CWE分類は、MSRCのSecurity Update Guideに掲載されたCVE-2026-42824のアドバイザリで2026年8月14日に確認した値である
• 攻撃チェーンの技術的詳細（qパラメータ、<img>のレンダリング順序、Bingの画像検索エンドポイント）はVaronisの開示記事（同ページの最終更新表記は2026年6月15日）による
• Varonisの開示記事には、Microsoftへの報告日・修正完了日といった具体的な時系列が記載されていない。MSRCのアドバイザリ公開日（6月4日）とVaronis記事の最終更新日（6月15日）の前後関係から報告や修正の順序を推定することは、本記事では行わない
• 影響を受けなかったプラン・テナント設定の一覧は、確認した一次情報のいずれにも記載がなく未確認である
• 記載したCVSSスコアは、ベクタ文字列からCVSS 3.1の計算式で再計算しても6.5（基本）・5.7（現状）と一致することを確認している

更新・訂正履歴

• 2026-08-14: CVSSのISS計算式の説明を訂正（「3項目を合算」→「1−(1−C)(1−I)(1−A)の積」が正しい仕様）。情報量ゼロの重複文2箇所（数値とラベルの食い違いを予告する接続文、RL:Oの重複説明）を削除。「他のAI製品にも広く存在する」という無出典の一般化を「どの程度広く存在するかは検証していない」に修正。3行まとめの開示日「6月15日頃」の断定を、末尾の但し書き（6月15日はVaronis記事の最終更新表記であり開示日そのものではない）と整合する表現に修正