新たに公開されたMicrosoft SharePoint Serverの脆弱性が、企業の防御担当者に緊急の懸念を引き起こしています。研究者らが、この脆弱性を以前の欠陥と組み合わせることで、未認証のリモートコード実行(RCE)を可能にする方法を実証したためです。
CVE-2026-63520として追跡されているこの問題は、Rapid7 Labsがゼロデイ研究の一環として特定し、Microsoftと連携して対応が進められました。
この脆弱性は単体でも、特定の条件下で未認証のリモート攻撃者がネットワーク経由でコードを実行できるというものです。さらに重要な点として、研究者らはこれが2026年7月に公開されたSharePointの脆弱性CVE-2026-55040とのエクスプロイトチェーンにおける第2段階を構成すると指摘しています。
この2つの脆弱性を連鎖させることで、有効な認証情報を一切持たないリモート攻撃者が、脆弱なSharePointサーバーを侵害し、SharePointサイトのサービスアカウントに割り当てられた権限で任意のコマンドを実行できる可能性があります。
Rapid7は、CVE-2026-63520の原因をSharePointのBusiness Connectivity Services(BCS)における安全でない.NET型のインスタンス化にあると分析しています。このコンポーネントは、SharePointが外部のビジネスシステムに接続し、データを取り込めるようにするために設計されたものです。
この機能内で攻撃者が制御する入力が適切に処理されないことで、悪意あるコードの実行が可能になるとされています。Microsoftのアドバイザリでは、この脆弱性をOffice SharePointにおける入力検証の不備に分類しており、権限を持たない攻撃者がネットワーク接続を通じてコードを実行できる可能性があるとしています。
影響を受ける製品の範囲には、サポート対象のMicrosoft SharePointの各バージョンに加え、Microsoft Project ServerおよびMicrosoft Office Web Apps Serverの一部リリースも含まれます。Rapid7による検証と技術分析は、主にSharePoint Serverの導入環境に焦点を当てて行われました。
この脆弱性がもたらすセキュリティ上の影響は大きく、特にインターネットに公開されたSharePointインスタンスや、ネットワークセグメンテーションが不十分なサーバーでは深刻です。
侵害が成立すれば、攻撃者は企業環境内への初期侵入拠点を得ることになり、文書リポジトリ、イントラネットのリソース、連携する業務システム、さらには侵害されたサービスアカウントがアクセスできる認証情報までもが露出する可能性があります。
CVE-2026-63520が特に重要視されるのは、これが単独の問題ではないためです。この脆弱性は、Microsoftの2026年7月のセキュリティ更新プログラムで対処されたCVE-2026-55040と組み合わさることで、2段階の攻撃経路を完成させます。
この脆弱性は攻撃の複雑さの評価が高いものの、研究者らはこれを十分な防御策とみなすべきではないと警告しています。
攻撃の複雑さが高いということは、攻撃者が特定の技術的要件を満たし、複数の脆弱性を確実に組み合わせる必要があることを意味しますが、それらの要件が満たされた場合の潜在的な影響が消えるわけではありません。
Microsoftはこの脆弱性の悪用可能性を「悪用される可能性が高い(more likely)」と評価しており、実際の武器化が現実的であるとみなしています。公開時点では、実際の悪用が確認された報告はなく、公開されている概念実証(PoC)コードも確認されていません。
Microsoftは、このアドバイザリに対応して発行されたすべてのセキュリティ更新プログラムを適用するよう組織に呼びかけています。管理者は、自社のSharePointの導入環境、バージョン、インストール済みコンポーネントによっては、複数の更新パッケージが該当する場合がある点に注意する必要があります。
パッチはどの順序でインストールしてもかまいませんが、この脆弱性を完全に解消するには該当するすべての更新プログラムの適用が必要です。SharePoint Server 2016とSharePoint Enterprise Server 2016は同一のKB更新パッケージを共有しているため、これらの製品を利用している組織にとっては対応が簡素化されます。
セキュリティチームは直ちに、オンプレミスのSharePointインフラの棚卸しを行い、適用済みのパッチレベルを検証するとともに、インターネットに公開されているシステムを特定する必要があります。
また、監視対象もBusiness Connectivity Servicesの不審な活動、SharePointのサービスコンテキストから発生する予期しないプロセスの実行、異常なアウトバウンド接続、Webアプリケーション構成への変更などにまで拡大すべきです。
関連する2つのSharePoint脆弱性が1か月以内に公開されたことを踏まえ、防御担当者はパッチ適用を通常のメンテナンス作業としてではなく、緊急の運用上の優先事項として扱うべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。SOCを強化しMTTRを短縮する、包括的なフィッシング可視化を今すぐ体験
翻訳元: https://cyberpress.org/microsoft-sharepoint-rce-flaw/
