Microsoft SharePointが新たなエクスプロイトの標的に

watchTowrおよびDefused氏のセキュリティ研究者によると、Microsoft SharePointに存在する深刻度クリティカルのデシリアライゼーション脆弱性が現在悪用されているとのことです。 

この脆弱性はCVE-2026-50522として追跡されており、深刻度評価は10段階中9.8で、攻撃者がネットワーク経由でリモートコードを実行できる可能性があります。 

新たなエクスプロイトコードの公開を受け、攻撃者はオンプレミスのSharePointサーバー環境を標的にしていると、watchTowrの研究者らがLinkedInの投稿で述べています。研究者らは、攻撃者が長期的なアクセスを維持するためにマシンキーを窃取していると警告しました。

今回の脆弱性は、7月14日にMicrosoftが公開した大規模なパッチリリースの一部として当初開示されました。同社によれば、この脆弱性の悪用は複雑度が低いとされており、攻撃者は攻撃を完了するのにシステムに関する高度な知識を必要としません。 

しかしwatchTowrの研究者らは、パッチ適用だけではこのデシリアライゼーション脆弱性への対策として不十分だとし、セキュリティチームは「侵害された可能性のある資産について認証情報をローテーションすべきだ」と警告しています。 

watchTowrのチームによれば、この脆弱性は極めて深刻であり、今回のエクスプロイトは「ToolShellクラスの影響」を持つとCybersecurity Diveに語っています。ToolShellは2025年夏にランサムウェア集団や国家関与とされる集団によって展開されたキャンペーンで、数百件に上るSharePoint顧客が侵害されました。複数の連邦政府機関もこの攻撃の被害に遭っています。

MicrosoftはCVE-2026-50522に対処するセキュリティ更新プログラムを公開しており、顧客は最新バージョンにアップグレードすべきだと同社の広報担当者はCybersecurity Diveに語りました。同社は、このCVE公開以前における悪用は確認していないとしています。

「このセキュリティ更新プログラムは問題を完全に緩和しますが、ユーザー環境をさらに保護するためにマシンキーのローテーションを実施することも可能です」と同広報担当者は述べています。 

CISAの警告

ちょうど1週間前には、米サイバーセキュリティ・インフラセキュリティ庁（CISA）がSharePointにおいて悪用が確認された3件の脆弱性について警告を発しています。 

• 不適切な入力検証の脆弱性で、CVE-2026-32201として追跡されており、攻撃者がネットワーク経由でなりすましを行うことを可能にします。 
• リモートコード実行の脆弱性で、CVE-2026-45659として追跡されており、信頼できないデータのデシリアライゼーションに関わるものです。
• 3件目の脆弱性であるCVE-2026-56164は、攻撃者がネットワーク経由で権限を昇格させることを可能にします。ShadowServer Foundationによると、1,000件を超えるインスタンスが外部に露出しており、その約半数が北米に所在しています。 

編集部注：Microsoftからのコメントを追記し更新しました。