セキュリティ企業Rapid7が火曜日に公開したMicrosoft SharePointの重大な脆弱性を突く実証コード（PoC）が、すでに攻撃で使われています。
CVE-2026-55040として追跡されているこの認証バイパスの脆弱性は、JWTトークンの検証処理に存在し、権限を持たない攻撃者がSharePointのサイトユーザーや管理者として操作を行えるようになるものです。
Microsoftは2026年7月のPatch Tuesdayでこの脆弱性を修正し、SharePoint Enterprise Server 2016およびSharePoint Server 2019を稼働させているシステムについてパッチ適用を呼びかけていました。
「この脆弱性はなりすましを許すもので、認証機能が回避される可能性がある」とMicrosoftは説明しています。「この脆弱性が悪用されると、攻撃者はファイルを開示したりデータを改変したりできますが、システムの可用性には影響を及ぼせません」としています。
CVE-2026-55040に関する詳細な技術解説は、Rapid7のセキュリティ研究者Stephen Fewer氏によって火曜日に公開され、PoCエクスプロイトも併せて公表されました。
本日、脅威インテリジェンス企業Defusedは、Rapid7のエクスプロイトコードがすでに実際の攻撃に武器化されていることを報告しました。同社のハニーポットを標的とした攻撃が確認されています。
「攻撃者はCVE-2026-55040に対する@rapid7のPOCを、当社のSharePointハニーポットに対して現在使用しています」とDefusedは警告しています。「この脆弱性はMicrosoft SharePointのJWT認証バイパスであり、Rapid7が昨日、技術解説とPoCコードを公開したものです」としています。
インターネットの脅威監視団体Shadowserverは現在、8,500台を超えるMicrosoft SharePointサーバーがインターネット上に公開されていることを確認しています。ただし、そのうちどれだけがハニーポットであるか、またすでにこの脆弱性に対するパッチが適用済みであるかについての情報はありません。
Microsoftはこの脆弱性を攻撃者にとって狙われやすい標的として位置づけていますが、実際の攻撃で悪用されたと確認したことはまだありません。
Microsoftの悪用可能性評価を踏まえたとみられますが、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は7月15日、CVE-2026-55040による攻撃の可能性に備えてSharePointサーバーを保護するようネットワーク防御者に警告しました。
CISAはセキュリティチームに対し、必要がない限りSharePointサーバーを直接インターネットに公開しないこと、そしてMicrosoftが公式に提供しているSharePoint Serverのセキュリティ強化に関するガイダンスを確認することを強く求めています。
また、SharePoint Central Administrationへの外部アクセスを遮断し、ファームおよびデータベース間の通信を必要なシステムのみに制限することも推奨しています。インターネットへの公開が必要な場合には、レイヤー7のリバースプロキシなど、アプリケーション層のセキュリティ制御の背後にサーバーを配置することをCISAは勧めています。
2021年11月以降、同庁は14件のMicrosoft SharePointの脆弱性が実際の攻撃で悪用されていると発表しており、そのうち8件はランサムウェア攻撃でも悪用されています。
火曜日には、CISAはさらに、7月上旬から実際の攻撃で悪用されているとされていたMicrosoft SharePointの深刻度高のリモートコード実行の脆弱性（CVE-2026-45659）について、ランサムウェア集団にも悪用されていることを確認したと発表しました。
攻撃者が有効な認証情報を入手した後、その行動のうち阻止されるのはわずか37%
全体的な防御スコアだけを見ていると、初期アクセス後に何が起きているかが見えなくなります。攻撃者が有効な認証情報を使い始めると、防御の成功率は急激に低下します。
Blue Report 2026では、顧客の本番環境で実施された3億3,800万件のシミュレーションを基に、手法ごとに防御力を測定しています。
