新たに公開されたMicrosoft SharePoint Serverの脆弱性群が、実際に悪用されていることが判明しました。攻撃者は細工した1回のWebリクエストだけで、完全なリモートコード実行と企業環境全体にわたる長期的な永続化を実現できてしまいます。
パッチ管理ソリューション
2026年7月にリリースされたセキュリティ更新プログラムと、CISAが発表した勧告により、複数の脆弱性がすでにオンプレミス環境に対して悪用されていることが確認されました。
CVE-2026-32201、CVE-2026-45659、CVE-2026-56164として追跡されているこれらの脆弱性は、CISAの既知の悪用された脆弱性(KEV)カタログに追加されており、実際の悪用が確認されていることを示しています。
さらに、CVE-2026-58644、CVE-2026-55040、CVE-2026-50522といった深刻度の高い問題も加わり、認証不要で悪用可能な攻撃対象領域が大幅に拡大しています。これにより、今後悪用活動がさらに加速すると予想されます。
Microsoftは、SharePoint Server 2016、2019、Subscription Editionを含む、サポート対象のすべてのバージョン向けにパッチをリリース済みです。
この脅威の核心にあるのは、複数の弱点を連鎖させることで、一連の攻撃経路をシームレスに構築できる点です。認証を持たない攻撃者は、不適切な入力検証と認証バイパスを悪用して機密性の高いエンドポイントに到達した後、安全でないデシリアライゼーションの脆弱性を突いてIISワーカープロセス内で任意のコードを実行できます。
実際に観測された攻撃では、脅威アクターがspinstall0.aspxなどのASP.NET Webシェルを展開して初期足場を確立し、侵入後の活動を開始しています。
特に危険な手口の一つが、SharePointの設定からASP.NETマシンキーを抽出する手法です。この暗号鍵は、ViewStateや認証トークンの署名・暗号化に使われています。
いったんこの鍵が盗まれると、攻撃者はサーバーが正規のものとして受け入れてしまう信頼済みペイロードを生成できるようになり、パッチ適用後もセキュリティ管理を事実上バイパスできてしまいます。これにより、一度きりの悪用が、修復作業をも生き延びる恒久的なバックドアへと変貌します。
セキュリティ研究者やインシデント対応チームは、攻撃者がこのアクセス権を悪用して、悪意あるIISモジュールをインストールしたり、エンコードされたペイロードを介してPowerShellコマンドを実行したり、バックエンドシステムへ横展開したりする様子を観測しています。
SharePointはActive Directoryと深く統合されており、SQL Serverとも連携しているため、Webフロントエンドサーバーが侵害されると、瞬く間にドメインレベルのアクセス権奪取、データベースからの情報窃取、そしてより広範なインフラの侵害へとつながる恐れがあります。
この攻撃連鎖は、国家支援型アクターとランサムウェアの実行グループの双方でよく見られる手口と一致しています。初期アクセスブローカーも、これらの脆弱性を悪用して価値の高い企業ネットワークへの侵入を図る可能性が高いとみられます。
2026年7月14日に公開されたCISAの勧告によると、インターネットに公開されたSharePointサーバーを持つ組織は最もリスクが高く、特に古いビルドを稼働している場合や、機密性の高いデータリポジトリをホストしている場合は注意が必要です。
ネットワークセキュリティ
技術的な分析によると、攻撃はまずShodanやCensysといったツールを使い、公開されているSharePointエンドポイントを特定する偵察活動から始まることが多いようです。
その後、攻撃者は/_layouts/15/ToolPane.aspxなど脆弱なパスに対して細工したHTTP POSTリクエストを送信し、セキュリティチェックを回避するためにRefererなどのヘッダーを偽装するケースも見られます。
悪用が成功すると、多くの場合w3wp.exeがコマンドシェルやPowerShellのインスタンスを生成するなど、不審なプロセス活動が続いて発生します。
Microsoftの緩和策ガイダンスでは、KB5002882、KB5002883、KB5002891といった更新プログラムを速やかに適用することが強調されています。
また、リクエスト本文全体をスキャンするAMSI統合の有効化、SharePointサーバーへの外部アクセスの制限、IISログにおける異常なリクエストやモジュール変更の監視も推奨されています。
なお、SharePoint OnlineおよびMicrosoft 365環境はMicrosoftによって管理されているため、今回の影響を受けません。
この一連の脆弱性は、企業を狙う攻撃で繰り返し見られるパターンを浮き彫りにしています。それは、中程度の脆弱性を連鎖させることで、重大な侵害経路を作り出すという手口です。
今回のケースでは、たった1回の悪意あるWebリクエストが、組織全体にわたる恒久的かつ隠密なアクセスへとエスカレートしかねません。
実際の悪用がすでに確認されており、公開の概念実証(PoC)技術も出現し始めていることから、防御側はパッチ未適用の環境ではすでに侵害されているとの前提に立ち、脅威ハンティング、認証情報のローテーション、フォレンジック検証を優先して実施すべきです。
𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 2026年版、どれが最適か? コスト、自動化、対応力を比較: 無料ガイドをダウンロード
翻訳元: https://gbhackers.com/microsoft-sharepoint-server-vulnerabilities/
