ハッカーたちが、Microsoft SharePointの深刻な脆弱性CVE-2026-50522を積極的に悪用し、マシンキーを窃取して、対象サーバーがパッチ適用された後もアクセスを維持できるようにしていることが判明しました。
Microsoftはこのセキュリティ問題を、リモートの攻撃者が認証なしにネットワーク経由でコードを実行できる、信頼できないデータのデシリアライゼーションに関する欠陥だと説明しています。
この脆弱性はMicrosoftの7月のセキュリティ更新プログラムで修正されていました。当時は積極的に悪用されているとはされていませんでしたが、勧告では悪用される可能性が高まっていると指摘されていました。
攻撃的セキュリティ企業のwatchTowrによると、有効な概念実証(PoC)エクスプロイトが公開された直後から、ハッカーたちはオンプレミスの脆弱なSharePoint環境に対してCVE-2026-50522の悪用を開始したとのことです。
「7月20日、watchTowrはこの脆弱性の概念実証エクスプロイトコードを確認しました」とwatchTowrは述べています。「数時間のうちに、当社のグローバルハニーポットネットワークであるAttacker Eyeが、このPoCを使用した攻撃の試みを捕捉し、対象システムの侵害に成功していることを確認しました」
研究者たちによると、攻撃者は侵害したシステムへの長期的なアクセスを維持するために、マシンキーを窃取しているとのことです。
早期警戒型の脅威インテリジェンス企業であるDefusedは、早くも7月17日の時点で「文書化されていないSharePointのデシリアライゼーションベクター」が攻撃に使用されていることを検知していましたが、当初はその活動を特定の脆弱性と結びつけることができていませんでした。
昨日、同社は、この一連の攻撃はCVE-2026-50522のSharePoint脆弱性の悪用によって引き起こされた可能性が高いと述べました。
公開されたエクスプロイト
セキュリティ研究者のJangggggによって、CVE-2026-50522の実証用PowerShellエクスプロイトが少なくとも1件、GitHub上で公開されています(同氏のポスト)。
このPoCは、偽造した「SecurityContextToken」のCookieとして悪意ある.NET「BinaryFormatter」ペイロードを仕込み、SharePointの「/_trust/default.aspx」エンドポイントに送信するWS-Federationサインインレスポンスの中に忍ばせることで、リモートコード実行のトリガーを試みます。
このトークンが脆弱なデシリアライゼーション経路で処理されると、ペイロードによってSharePointサーバー上で任意のコードが実行される結果となります。
BleepingComputerはこのPoCエクスプロイトを実際にテストしてはいませんが、構造的にも技術的にも本物らしく見えます。
Jangggggがこのペイロードを公開したのが、watchTowrがこれを悪用する攻撃の検知を開始したのと同じ日であった点は注目に値します。ただし、実際に観測された攻撃事案で、この公開エクスプロイトが使用されたかどうかは不明です。
最新のSharePointセキュリティ更新プログラムを適用すれば脆弱性自体は解消されますが、watchTowrは防御側に対し、影響を受けた可能性のある資産では認証情報のローテーションも併せて行うよう勧告しています。
攻撃者に先んじて、すべてのレイヤーをテストする
セキュリティチームが検知できている攻撃成功事案はわずか54%、アラートが上がるのはたった14%に過ぎません。残りは検知されないまま、環境内を通り抜けていきます。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(BAS)がSIEMやEDRのルールをどのようにテストし、脅威の見逃しを防ぐかを解説しています。
