CVSS 10.0 なのに利用者の作業がゼロのCVEがある（クラウドサービスCVEの読み方）

DRANK

背景私は毎日CVEを1〜2件ずつ読んで、自分のサイトに日本語の対応表として書き残しています。CVEというのは、公開された脆弱性ひとつひとつに振られる世界共通の番号だ。CVE-2026-58630 のような形で、どのデータベースを見ても同じものを指せる。この作業をしていると、たまに手が止まる種類のCVEに当たります。今日当たったのがそれでした。スコアは最大値の10.0。なのに、読者に案内できる「やること」が一つも無い…。最初は自分の調べ方が足りないのだと思って30分ほど探しました。違いました。本当に無かったのです。何が起きているか対象は CVE-2026-58630、Azure App Service のアクセス制御不備です。Azure App Service は Microsoft のマネージドサービスで、利用者はコードを置くだけで、OSもミドルウェアもMicrosoftが動かしている。つまり修正を当てる場所が利用者の手元に存在しない。MSRC（Microsoft Security Response Center、Microsoftの脆弱性窓口）のFAQには、下記の趣旨が書いてあります。この脆弱性は Microsoft によって既に完全に緩和済みであり、このサービスの利用者が取るべきアクションは無い。この CVE の目的は透明性の向上である。APIで引け…