Microsoft Semantic KernelにRCE脆弱性CVE-2026-26030／25592、プロンプトからコード実行可能に

「AIエージェントってプロンプトだけで攻撃されるんでしゅか？」
「Semantic Kernelを使ってる業務システム、大丈夫？」

チップス

ボス、Semantic Kernelってマイクロソフトの公式フレームワークでしゅよね？それでもRCEが出るんでしゅか？

ボス

そうだ。CVE-2026-26030と25592、プロンプト1発で電卓が起動するレベルの本格的なRCEが2件出たんだ。AIエージェントを業務に組み込んでいる企業は要注意だな。

2026年5月7日、Microsoftが自社のAIエージェント開発基盤「Semantic Kernel」に複数の重大脆弱性が存在することを公表しました。
本記事では、CVE-2026-26030と25592の手口、影響範囲、必要な修正対応をAIエージェント開発者・利用者の視点で解説します。

このまま読み進めれば、AIエージェントが「プロンプト1発でホスト乗っ取り」される具体的な経路と、防御の優先順位が分かります。

Semantic Kernelで発見された2つの脆弱性の概要

今回の脆弱性は、AIエージェントの「ツール呼び出し」を悪用してホスト権限を奪う、新しい型の攻撃面を示しました。

CVE-2026-26030：In-Memory Vector StoreのRCE

CVE-2026-26030は、デフォルト設定のIn-Memory Vector Storeで使われるフィルタ関数に潜む、安全でない文字列補間とeval呼び出しに起因します。
攻撃者がプロンプトインジェクションを成功させると、AST-traversalペイロードがブロックリストを回避し、計算機（calc.exe）レベルの任意コード実行が「単一プロンプトで成立」する深刻度の高さが報告されています。

主要事実をまとめると以下のとおりです。

チップス

1つのプロンプトで電卓が起動するなんて……AIエージェントに何を入れても危ないでしゅ！

CVE-2026-25592：DownloadFileAsync悪用のサンドボックス脱出

CVE-2026-25592は、SessionsPythonPluginのDownloadFileAsyncが [KernelFunction] 属性で公開され、ファイルパスの検証なしにAIモデルから操作可能だった点が原因です。
攻撃者は悪意あるスクリプトをWindowsのスタートアップフォルダーに書き込ませ、次回ログイン時にホスト全体を掌握することが可能になります。

影響範囲は.NET版 Semantic Kernel 1.71.0未満で、修正版への更新が必須です。

攻撃者がプロンプトをシェル化する手口と対策

2件の脆弱性は、AIエージェント特有の「ツール呼び出し」設計上の落とし穴を示しています。

「プロンプト→ツール→ホスト」の悪用フロー

攻撃の核心は、AIエージェントが信頼するツール群を、プロンプト経由で意図しない順序・意図しない入力で呼ばせる点にあります。
ExecuteCodeで悪意あるスクリプトを生成→DownloadFileAsyncで危険な場所に書き込み、という連鎖で本来のサンドボックスを越えてしまうのです。

典型的な悪用ステップは以下のとおりです。

企業が今すぐ実施すべき対応

Microsoftは複数の対策を提示しており、修正パッチ適用に加えて、AIエージェント設計面の見直しが推奨されています。
自社でSemantic Kernelを使う日本企業の優先対応は以下のとおりです。

チップス

パッチを当てるだけじゃ足りないんでしゅね……

ボス

その通りだ。AIエージェントに「何でも呼べるツール」を持たせると、プロンプト1発でシェルになる。設計時から最小権限で組むのが鉄則だな。

まとめ：AIエージェントは「ツールの最小権限」が新常識

Semantic KernelのCVE-2026-26030／25592は、プロンプトインジェクションが従来の「コンテンツ汚染」を越え、コード実行へとつながる現実を示しました。
AIエージェントを業務に組み込む日本企業は、修正版への更新と並行して、ツール公開範囲・ファイル操作権限の最小化を再点検する必要があります。

パッチ適用、KernelFunction属性の見直し、パス検証、エージェントプロセス監視の4本柱で、今すぐ防御を固めましょう。

参考：Microsoft Security Blog「When prompts become shells」