SharePointの深刻な脆弱性が実際に悪用、CISAが既知悪用カタログに追加

CISA Warns of Actively Exploited Microsoft SharePoint Vulnerability

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

米CISAは2026年7月1日、Microsoft SharePoint Serverの脆弱性CVE-2026-45659が実際に悪用されていると発表し、既知悪用脆弱性(KEV)カタログに追加した。

信頼できないデータのデシリアライズに起因するリモートコード実行の脆弱性（CVSS 8.8）で、5月に緊急パッチ済みだったが、Site Member程度の権限を持つ認証済み攻撃者でも突破できる。

SharePoint Server Subscription Edition、2019、2016、Enterprise Server 2016が対象で、文書共有やイントラネットの基盤として使われることが多く影響範囲は広い。

社内文書共有基盤としてSharePoint Serverを運用している情報システム部門は、5月のパッチ適用状況をあらためて棚卸しする必要がある。

対象バージョンと権限条件の細部はNVDのCVEエントリで一次情報を確認するのが確実だ。

脆弱性の内容

CVE-2026-45659はMicrosoft SharePoint Serverの、信頼できないデータのデシリアライズに起因するリモートコード実行の脆弱性で、CVSSスコアは8.8。Site Member程度の権限を持つ認証済み攻撃者でも突破できる点が実務上の脅威度を高めている。対象はSharePoint Server Subscription Edition、2019、2016、Enterprise Server 2016と幅広い。

パッチ公開から悪用確認までの経緯

この脆弱性は今年5月の定例パッチで一度見落とされ、後日アウトオブバンド(緊急の定例外)更新で対応されたという経緯がある。パッチが出てから実際の悪用が確認されるまでにタイムラグがあるのは珍しくないが、当初の見落としがあった分、パッチ適用状況の把握が組織側で遅れやすかった可能性がある。

SharePointの脆弱性史という視点

SharePointのようなオンプレミス型の文書共有基盤は、過去にも大規模な悪用キャンペーンの標的になってきた実績がある。組織の重要文書や認証情報が集約されやすい構造上、一度の侵害が横展開されるリスクは他の一般的なWebアプリより大きい。今回のように「パッチ済みのはずが実装漏れがあった」というパターンも過去に繰り返されており、パッチ適用の有無だけでなくバージョンの詳細な確認が欠かせない。

対応の優先度

CISAは連邦機関に対し、拘束的運用指令(BOD 26-04)に基づき3日以内のパッチ適用を求めている。Microsoft自身も攻撃には高度な事前知識が不要で再現性高く悪用できると説明しており、民間組織でも同水準の緊急度で対応する価値がある。詳細はSecurityWeekの記事(https://www.securityweek.com/cisa-warns-of-actively-exploited-microsoft-sharepoint-vulnerability/)とNVDのCVE情報を参照してほしい。