Microsoft SharePoint Serverの管理者に対し、2件の脆弱性を組み合わせることで外部公開されているオンプレミスサーバー上で未認証のリモートコード実行が可能になるとして、パッチ適用が呼びかけられています。
これらの脆弱性はCVE-2026-55040とCVE-2026-63520として追跡されており、SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016に影響します。
セキュリティ企業Defusedが、自社のハニーポットインフラで攻撃チェーン全体を狙った探索行為を確認したと報告したことで、事態の緊急性が高まっています。
同社によると、攻撃者はまずCVE-2026-55040のJWT認証バイパスを悪用し、続いて管理者アカウントの徹底的な列挙、さらにCVE-2026-63520に関連するBusiness Data Catalogの攻撃対象領域の探索を行っていたとのことです。
Dataprivacy consulting
Defusedはこれらの攻撃による実際のコード実行はまだ確認していないとしていますが、一連の動きから、攻撃者がインターネットに公開されたSharePointサーバーを対象に、完全な侵害に至る手口を積極的に検証していることがうかがえます。
この動きは、VulnCheckが両脆弱性を組み合わせた詳細な攻撃チェーンを公開した後に確認されたものです。
CVE-2026-55040は、CVSS v3.1スコア9.1の重大な認証バイパスの脆弱性です。SharePoint ServerのJSON Webトークン(JWT)ハンドラに存在し、デフォルトで無効になっているRequireSignedTokensなどのセキュリティ設定によって影響が左右されます。
標的ユーザーのセキュリティ識別子(SID)またはユーザープリンシパル名(UPN)を把握しているリモート攻撃者は、偽造したJWTを作成することでSharePointのトークン検証チェックを回避できます。これにより攻撃者は、正規の認証情報を一切持たずに、選択した任意のユーザー、たとえ管理者権限を持つユーザーであってもなりすますことが可能になります。
CISAは8月18日、実際の悪用を確認したとしてCVE-2026-55040を既知の悪用済み脆弱性(KEV)カタログに追加しました。最近のハニーポットでの活動からは、攻撃者が現在、公開文書化されたリモートコード実行チェーンに対して脆弱な環境の評価も進めていることがうかがえます。
CVSS v3.1で8.1と評価されたCVE-2026-63520は、SharePointのBusiness Connectivity Services(BCS)に影響します。BCSは、SharePointアプリケーションが外部のビジネスデータと連携できるようにするために設計されたコンポーネントです。
本来このコンポーネントは、BCSAllowedTypeNamesの許可リストで明示的に許可されたクラスにのみオブジェクト生成を制限する仕組みになっています。しかし、Microsoftがパッチを提供する前は、攻撃者が悪意のあるBusiness Data Connectivityモデル内で任意のクラス名を指定できてしまう状態でした。
VulnCheckは、System.Web.UI.LosFormatterを呼び出すことで逆シリアル化ガジェットをインスタンス化でき、最終的にサーバー上で任意のコードを実行できることを発見しました。
私たちのハニーポットで、SharePointのCVE-2026-55040とCVE-2026-63520を組み合わせたRCEチェーンへの探索行為を確認しています
JWTバイパス(55040)が実行され、続いて大規模な管理者列挙と、CVE-2026-63520の背後にあるBusiness Data Catalogのシンクへの探索が行われました。コード実行はまだ確認されていません
— Defused (@DefusedCyber) August 25, 2026
攻撃が成功する場合、まずCVE-2026-55040によって初期段階の認証バイパスと権限のなりすましが可能になります。その後、攻撃者は脆弱なBCS機能にアクセスし、CVE-2026-63520を悪用してコード実行に至ります。組織はこれら2つの脆弱性を、別々のパッチ適用課題として捉えるべきではありません。
Microsoftは影響を受けるすべてのSharePoint Serverバージョン向けに更新プログラムを公開済みです。一方、SharePoint Onlineは影響を受けません。Censysの調査によると、8月25日時点でSharePointのインスタンスは約329,000件確認されており、そのうちバージョン情報を公開しているオンプレミスシステムは約21,000件に上ります。
管理者は、両方のCVEに対するパッチを直ちに適用するとともに、可能な限り公開範囲を制限し、偽造トークンの痕跡がないかSharePointの認証アクティビティを確認し、不審な管理者列挙やBusiness Data Catalogへのリクエストがないか調査する必要があります。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI Lookupを貴社のSOCに統合
翻訳元: https://gbhackers.com/microsoft-sharepoint-flaws/
