Microsoft SharePoint Serverで新たに発見された脆弱性CVE-2026-63520を悪用すると、攻撃者が影響を受けるシステム上でリモートから任意のコードを実行できるおそれがあります。
Hacking& Cracking
この脆弱性はCVSS v3.1で10点満点中8.1という深刻度に分類されています。影響を受けるのはサポート対象バージョンのMicrosoft SharePointに加え、Microsoft Project ServerおよびMicrosoft Office Web Apps Serverの一部の導入形態です。
Rapid7 Labsがこの問題を発見したのは、企業環境におけるSharePointの広大な攻撃対象領域に着目したゼロデイ研究の過程でした。
この脆弱性は、SharePointのBusiness Connectivity Services（BCS）における入力値検証の不備に起因しており、安全でない.NET型のインスタンス化を許してしまいます。細工したデータを送り込むことで、攻撃者は悪意のある.NETガジェットチェーンを発動させ、脆弱なサーバー上でコマンドを実行できます。
実行されるコードは、対象のSharePointサイトインスタンスを稼働させているWindowsサービスアカウントの権限で動作します。
したがって、この脆弱性が実際にどの程度の影響を及ぼすかは、そのアカウントの設定内容や権限、さらにサーバーが社内リソースにどこまでアクセスできるかによって左右されます。
SharePointのサービスアカウントに広範な権限が与えられていたり、機密文書リポジトリやActive Directoryのリソース、あるいは連携する基盤システムにアクセスできたりする環境では、攻撃が成功した場合に攻撃者へ大きな足がかりを与えてしまう可能性があります。
MicrosoftはCVE-2026-63520を「重要」に分類しています。CVSSベクターによると、ネットワーク経由でアクセス可能であり、権限もユーザー操作も必要とせず、機密性・完全性・可用性への影響が大きいとされています。
ただし、この脆弱性単体を見た場合、攻撃の複雑さは高いという条件が付きます。
危険性が跳ね上がるのは、CVE-2026-63520がCVE-2026-55040と組み合わされた場合です。これはSharePointのJWTトークンに影響する、以前開示された認証バイパスの脆弱性です。
この認証の欠陥は初期アクセスの障壁を取り除いてしまう可能性があります。さらに、今回新たに修正されたリモートコード実行の脆弱性によって、任意のコマンド実行が可能になります。
これら2つの脆弱性が組み合わさることで、外部に公開された未パッチのSharePointサーバーに対する、認証不要のリモートコード実行(RCE)チェーンが成立してしまいます。
Rapid7の研究者Stephen Fewer氏は、もともとPwn2Own Berlin 2026向けに立ち上げたプロジェクトの中で、これら両方の問題を特定しました。この研究では、手作業によるソースコードレビュー、リバースエンジニアリング、そしてAIを活用したワークフローを組み合わせて用いています。
研究チームによると、このプロジェクトは最終的に、24日間・96セッション・約80,000回のツール呼び出し・256のプロンプトにわたる合計120時間のAI稼働時間を経て、動作するエクスプロイトチェーンを生み出したとのことです。
Pwn2Ownへのエントリーは競技会本番でのデモンストレーションには至らなかったものの、この研究はAI支援によるワークフローが、複雑なエンタープライズソフトウェアにおける脆弱性発見をどれだけ加速させ得るかを浮き彫りにしています。
Securityvulnerability scanner
Rapid7は、専門家による監督が依然として不可欠であると強調しています。調査結果の検証や調査の方向付け、そしてモデルが生成した結果に含まれる不正確な点を見極める上で、専門家の目が欠かせないとしています。
管理者は、CVE-2026-63520に対するMicrosoftのセキュリティ更新プログラムの適用を最優先すべきであり、SharePoint、Project Server、Office Web Apps Serverのインスタンスがインターネットからアクセス可能な状態になっていないかを確認する必要があります。
また、SharePointのサービスアカウントに付与されている権限を見直し、SharePointプロセスの異常な挙動を監視し、想定外のコマンド実行を調査するとともに、パッチが適用されるまでは公開状態のシステムを隔離することも組織に求められます。
Rapid7は、開示から30日以内に詳細な技術情報を公開する予定です。それまでの間、防御側はこの脆弱性チェーンを優先度の高いパッチ適用・エクスポージャー管理の課題として扱うべきです。特にオンプレミスのSharePoint基盤に依存している組織は注意が必要です。
新たなフィッシングやマルウェアが事業を脅かす前に阻止しましょう。 世界15,000のSOCが活用するライブインテリジェンスを統合
翻訳元: https://gbhackers.com/microsoft-sharepoint-rce-vulnerability/
