CVE-2026-55944 Dynamics 365 Business Central/NAVの未認証RCE。ログイン処理のデシリアライズが招くコード実行を機構から読む

Microsoft Dynamics 365 Business CentralとMicrosoft Dynamics NAVのオンプレミス版に、認証を持たない攻撃者がネットワーク経由でコードを実行できる脆弱性CVE-2026-55944が見つかり、2026年7月のセキュリティ更新プログラム(Patch Tuesday)で修正されました。分類は信頼できないデータのデシリアライズ(CWE-502)で、CVSS v3.1の基本値は9.8です。細工したログインリクエストを送るだけで、認証もユーザー操作も経ずにコード実行へ至るとされ、財務や購買を束ねる基幹ERPが侵入の起点になり得る点が重く見られています。

この記事は、ERPや基幹システムを運用する情報システムの担当に向けて、なぜ認証前のログイン処理でデシリアライズが起き、それがリモートコード実行に至るのかを、NVDとMicrosoftのセキュリティ更新ガイド、MITREのCWE-502をもとに整理します。攻撃の再現手順やペイロードは示しません。事実は執筆時点(2026年7月27日)で一次情報から確認できた範囲に限り、検証は自組織が管理する環境に対してのみ行う前提です。

何が起きる脆弱性か#

Dynamics 365 Business CentralとDynamics NAVは、中堅企業向けに財務や販売、購買、在庫といった基幹業務を束ねるERP製品です。今回のCVE-2026-55944は、このうち自組織で運用するオンプレミス版のサーバーに存在します。NVDの記述では、信頼できないデータのデシリアライズにより、権限を持たない攻撃者がネットワーク経由でコードを実行できるとされています。CVSS v3.1の基本値は9.8で、ベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hです。認証も利用者操作も要さず、攻撃の複雑さも低いことが、この高い評価につながっています。

各社の月例更新のまとめによれば、成立の経路は、影響を受けるDynamics NAVまたはBusiness Centralのサーバーへ細工したログインリクエストを送り、信頼できないデータのデシリアライズを引き起こすものとされています。認証を経る前のログイン受信処理が入口になるため、正規の資格情報という関門を持たずに到達できる点が、この脆弱性の危うさを大きくしています。

ログイン処理のデシリアライズがコード実行に至る機構#

デシリアライズ(直列化復元)は、ネットワークやファイルで受け取ったバイト列を、プログラム内部のオブジェクトへ復元する処理です。MITREのCWE-502は、復元するデータが妥当であることを十分に確かめないまま復元する弱点を指します。復元の過程では、データに記された型の指定に従ってオブジェクトが生成され、生成や復元に伴うメソッドが呼び出されるため、攻撃者が細工した直列化データを送ると、復元の最中に意図しないクラスの生成やメソッド連鎖(ガジェットチェーン)が起動してコードが実行されます。

CVE-2026-55944では、認証前のログインリクエストの受信処理が、本文に含まれる直列化データをそのまま復元してしまうことが起点になります。認証もユーザー操作も経ずに復元処理へ到達でき、その復元がコード実行の引き金になるという一連の流れが、未認証RCEという評価の理由です。攻撃の再現手順やペイロードはここでは示しませんが、信頼できない入力を検証せずに復元するという機構そのものが、基幹ERPにとって重い脅威になります。

MITREのCWE-502は、復元するデータが妥当であることを十分に確かめないまま信頼できないデータをデシリアライズする弱点を指し、攻撃者が細工した直列化データによって意図しないコードが実行され得ると説明しています。

デシリアライズがなぜコード実行に化けるのか、仕組みと防ぎ方は次の記事で整理しています。

あわせて読みたい

安全でないデシリアライゼーションの対策。信頼できないデータの復元が任意コード実行につながる仕組み

影響を受ける製品と悪用の条件#

影響を受ける製品と修正の提供は次のとおりです。まず自組織のDynamics環境がオンプレミス版かどうかと、そのビルドを確認します。

クラウドで提供されるBusiness Central online(SaaS)ではなく、自組織で運用するオンプレミス版が対象です。悪用の条件は、影響を受けるサーバーへネットワーク経由でログインリクエストを送れることに尽きます。認証も利用者操作も不要なため、サーバーが外部やイントラネットの広い範囲から到達できる構成であるほど、悪用の敷居は下がります。

Microsoftは、この脆弱性の悪用可能性を「Exploitation More Likely(悪用の可能性が高い)」と評価しています。これは今後悪用が現れやすいという予測を示す指標で、実際の悪用が確認されたことを意味するものではありません。執筆時点の各社の月例更新のまとめでは、CVE-2026-55944について実際の悪用(in-the-wild)や公開前の情報開示は報告されていません。断定を避けつつ、悪用が現れやすいと評価された脆弱性として、優先度を上げて扱うのが妥当です。

悪用の観測状況やEPSS、KEVを組み合わせて優先度を決める考え方は、次の記事で整理しています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

運用担当がとる対応の順序#

未認証で侵入の起点になり得る脆弱性は、更新の適用と公開面の縮小、監視を並行して進めます。次の順序で手を付けます。

未修正のまま公開していた場合に調査まで踏み込むのは、デシリアライズによるコード実行が痕跡を残しにくく、初回の到達だけで足がかりを作られ得るためです。到達の有無を確定できない段階でも、ログの保全と監視の強化を先に進めるほうが、被害の拡大を抑えやすくなります。

なお、脆弱性の検証は自組織が管理する環境に限って行い、他者のシステムへの無断のアクセスや検査は不正アクセス禁止法などの関連法令に触れるため行いません。悪用手順の詳細を示さないのも同じ理由からです。

NVDはCVE-2026-55944を、Microsoft Dynamics NAVにおける信頼できないデータのデシリアライズにより、権限を持たない攻撃者がネットワーク経由でコードを実行し得る脆弱性として登録し、CVSS v3.1基本値9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)とCWE-502を掲載しています。影響を受けるビルドと修正の提供、悪用可能性の評価はMicrosoftのセキュリティ更新ガイドを一次ソースとします。

まとめ#

CVE-2026-55944は、認証前のログイン処理で信頼できないデータのデシリアライズが起き、それが未認証のリモートコード実行に至る脆弱性です。CVSSは9.8で、Microsoftは悪用の可能性が高いと評価しました。実際の悪用は執筆時点で報告されていませんが、認証もユーザー操作も要さない条件を踏まえれば、対応を先送りにする理由は乏しいです。対応の要点は、オンプレミス版か対象ビルドかの確認と2026年7月更新の適用を軸に、公開面の縮小と認証前経路の監視を並行することにあります。基幹ERPは侵害の影響が広いため、月例更新を計画的に適用する運用へつなげることが、次の同種事案への備えになります。