Microsoft SharePoint Serverの脆弱性が実際に悪用され、Webシェルの展開、IISマシンキーの窃取、そして侵害された企業環境への長期的なアクセス維持に使われていることが分かりました。
今回の攻撃はオンプレミス版のSharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Server 2016に影響します。SharePoint OnlineおよびMicrosoft 365は影響を受けません。
CISAは、実際の悪用を確認したことを受け、CVE-2026-32201、CVE-2026-45659、CVE-2026-56164を既知の悪用された脆弱性（KEV）カタログに追加しました。
これらの脆弱性により、攻撃者は不適切な入力検証、安全でないデシリアライゼーション、認証制御の欠如を悪用できます。
これらを連鎖的に悪用することで、不正アクセス、リモートコード実行、権限昇格、そして脆弱なSharePointサーバーへの永続化が可能になります。
Microsoftは2026年7月のセキュリティ更新プログラムで、CVE-2026-55040、CVE-2026-58644、CVE-2026-50522にも対処しました。
これらの脆弱性には、JWT認証バイパスや、リモートコード実行につながりかねない未認証のデシリアライゼーション脆弱性がさらに含まれています。
各組織は、すべての脆弱性が実際の攻撃で公に観測されているかどうかにかかわらず、これら6件の問題すべてに直ちにパッチを適用すべきです。
攻撃者は、インターネットからアクセス可能なサーバーを中心に、外部に露出したSharePoint Webアプリケーションを標的にしています。
攻撃者は特別に細工したリクエストを脆弱なSharePointエンドポイントに送信し、認証をバイパスしたり、安全でないデシリアライゼーションを引き起こしたりします。
悪用に成功すると、IISワーカープロセスであるw3wp.exew3wp.exew3wp.exe内で、攻撃者が制御するコードを実行できてしまいます。
コード実行権限を得た後、攻撃者はSharePointおよびIISのディレクトリにASP.NET Webシェルをアップロードできます。報告されているファイル名の一つはspinstall0.aspxですが、防御側はこの指標のみに依存すべきではありません。
Webシェルがよく設置される場所には、SharePointのTEMPLATE\LAYOUTSディレクトリやIISの仮想ディレクトリパスが挙げられます。
セキュリティチームは、これらの場所で新規作成または変更された.aspx、.dll、.js、.txtファイルを調査すべきです。特に、不審なWebリクエストや予期しない子プロセスと共に現れる場合は要注意です。
今回の攻撃で特に懸念される点は、IISのASP.NETマシンキーの窃取です。これらのキーは、ViewStateやフォーム認証情報を含むアプリケーションデータの署名・暗号化に使われます。
攻撃者がweb.configからvalidationKeyとdecryptionKeyの値を入手すると、信頼されたアプリケーションデータを偽造し、元のSharePointの脆弱性にパッチが適用された後もアクセスを維持できる可能性があります。
つまり、パッチ適用だけでは侵入者を排除できない場合があるということです。各組織はまず、Webシェル、悪意のあるIISモジュール、改ざんされた設定ファイル、不審なアカウント、不正なプロセスの有無を調査する必要があります。
マシンキーは、対応チームが環境のクリーンな状態を確認した後にのみローテーションすべきです。そうしないと、攻撃者が交換後の新しいキーまで窃取してしまう恐れがあるとResecurityは指摘しています。
SharePointのWebフロントエンドが侵害されると、それがより重要度の高いシステムへの侵入経路となる可能性があります。SharePointは通常、Active Directory、SQL Server、サービスアカウント、コンテンツデータベース、そして社内の業務アプリケーションと連携しています。
SharePointサーバーへの足がかりを得た攻撃者は、文書を窃取したり、バックエンドのデータベースにアクセスしたり、横方向に移動したり、ランサムウェアを展開したりする可能性があります。
より強固なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCから得たライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/sharepoint-flaws-enable-webshell-attacks/