攻撃者は、SharePointの深刻なリモートコード実行(RCE)脆弱性(CVE-2026-50522)を悪用し、サーバーのIIS マシンキーを窃取しています。
「WatchTowrは、オンプレミスのMicrosoft SharePoint環境に対してCVE-2026-50522が実際に悪用されているのを観測しています。公開エクスプロイトコードの登場を受けたもので、攻撃者はマシンキーを盗み出し、長期的なアクセスを維持しようとしています」と、攻撃的セキュリティ企業である同社は火曜日に警告しました。
WatchTowrのグローバルハニーポットネットワークは、7月20日に悪用の成功事例を記録しました。これは概念実証(PoC)エクスプロイトが公開されてからわずか数時間後のことであり、MicrosoftがCVE-2026-56164(権限昇格の欠陥)とCVE-2026-58644(RCE脆弱性)が攻撃者によって実際に悪用されていると認めてから1週間も経たないタイミングでした。
7月17日には、脅威インテリジェンス企業のDefusedも、現在はCVE-2026-50522の悪用試行だったと考えている事象を検知していました。
「捕捉されたリクエストには認証情報が一切含まれておらず、これはCVE-2026-50522の未認証という特性と一致します。Microsoftは対をなすCVE-2026-58644についてはSite Owner権限での認証が必要としていますが、これは未認証トラフィックの内容とは合致しません」と、同社は月曜日にコメントしています。
もしこれが正しければ、CVE-2026-50522の悪用はPoCエクスプロイトの公開前、しかしMicrosoftが両方の欠陥に対する修正プログラムを配布した後――CVE-2026-50522については今月初め、CVE-2026-58644については2026年6月――から始まっていたことになります。
パッチ適用だけでは攻撃者を締め出せない
SharePointサーバーは通常インターネットからアクセス可能であり、組織にとって価値あるデータを保持し、他の内部システムとも連携しているため、攻撃者は常にこれらのサーバーへの侵入を試み続けています。
インターネットインテリジェンス企業のCensysは最近、インターネットに公開されているSharePointサーバーの実態調査を行い、そのほぼすべてがSharePoint Onlineであり、Microsoftによってホスティング・運用・パッチ適用がなされていると述べています。
「Webプロパティ単位ではなくホスト単位で数えると、自己管理型のオンプレミス版を稼働しているホストは約1,500台に上ります。その大半はSharePoint 2019で、2016とSubscription Editionを名乗るものが少数含まれます」と同社は指摘し、これらの大半は米国内に存在するとしています。
これらのうちどれだけが最新のセキュリティ更新プログラムを適用済みかを把握することは不可能だと、Censysは付け加えています。「SharePointのレスポンスヘッダー(中略)では、パッチ適用状況をどこまで正確に評価できるかに限界があるためです」。
米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は先週、攻撃者に狙われている一連のSharePoint脆弱性について警告を発し、自己管理型のサーバーインスタンスを運用している組織に対し、以下を求めています。
- セキュリティ更新プログラムの迅速な適用
- 各SharePoint Webアプリケーションでアンチマルウェアスキャンインターフェース(AMSI)連携が有効になっていることの確認(および検知状況の監視)
- 複数の強化策の実施
- IISマシンキーのローテーション実施前に、侵入の痕跡を調査・修復すること
7月14日にリリースされたSharePointの更新プログラムをまだ適用していない組織は、この最後のステップを省略すべきではありません。
「パッチ適用だけでは不十分であり、防御側は侵害された可能性のある資産の認証情報をローテーションすべきです」とwatchTowrは助言しています。
翻訳元: https://www.helpnetsecurity.com/2026/07/22/sharepoint-cve-2026-50522-exploited/
