Microsoft SharePoint Serverの管理者に対し、直ちにアップデートを適用するよう呼びかけが行われています。研究者らが、インターネットに公開されたオンプレミスのSharePoint Serverに対して未認証のリモートコード実行を可能にする2つの脆弱性を組み合わせた攻撃連鎖を、攻撃者が探索している様子を観測したためです。
これらの脆弱性、CVE-2026-55040とCVE-2026-63520は、SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016に影響します。
Defusedが、自社のハニーポットインフラで攻撃連鎖全体を狙ったプローブを観測したと報告したことで、事態の緊急性が高まりました。
同社によると、攻撃者はCVE-2026-55040のJWT認証バイパスを悪用した後、管理者アカウントに対する大規模な列挙を行い、CVE-2026-63520に関連するBusiness Data Catalogの攻撃対象領域を探っていたとのことです。
Defusedはこれらの試行においてコード実行までは確認していないものの、この活動は攻撃者が公開サーバーの完全な侵害に向けて積極的に評価を行っていることを示しています。
今回観測された一連の動きは、VulnCheckが2つの脆弱性を結びつけた詳細な悪用経路を公表したことを受けたものです。 CVSS v3.1で9.1と評価されたCVE-2026-55040は、SharePointのJSON Web Tokenハンドラに存在する深刻な認証バイパスの問題です。
この脆弱性が悪用可能かどうかは、既定で無効になっているRequireSignedTokensなどのセキュリティ設定に依存します。攻撃者がユーザーのSIDまたはUPNを把握していれば、JWTを偽造できます。
この偽造トークンはSharePointの検証チェックを回避でき、未認証のリモート攻撃者が、正規の認証情報を持たなくても、管理者権限を含む選択した任意のアカウントになりすますことを可能にします。
CISAは8月18日、CVE-2026-55040を既知の悪用された脆弱性(KEV)カタログに追加し、実際に悪用が行われていることを確認しました。最新のハニーポットのテレメトリからは、攻撃者らが脆弱な環境において、公開済みのコード実行に至る攻撃連鎖が成立するかどうかを現在評価している様子がうかがえます。
CVSS v3.1スコア8.1のCVE-2026-63520は、SharePointのBusiness Connectivity Servicesコンポーネントを標的としています。このコンポーネントは、SharePointアプリケーションと外部のビジネスデータとの接続をサポートするものです。
BCSは通常、オブジェクトの作成をBCSAllowedTypeNamesの許可リストに記載されたクラスに限定しています。しかし、Microsoftによる修正が行われる前は、悪意のあるBusiness Data Connectivityモデル内で、攻撃者が任意のクラス名を指定できてしまう状態でした。
VulnCheckは、System.Web.UI.LosFormatterを呼び出すことで逆シリアル化ガジェットをインスタンス化でき、最終的には任意のサーバー側コードを実行できることを突き止めました。
We’re seeing the SharePoint CVE-2026-55040 + CVE-2026-63520 RCE chain probed in our honeypots
The JWT bypass (55040) was exercised, followed by heavy admin enumeration and probing of the Business Data Catalog sink behind CVE-2026-63520. No code execution observed yet
Chain… pic.twitter.com/ZFWWI7r1HU
この複合攻撃では、CVE-2026-55040によって認証を突破し権限のなりすましを可能にすることで、初期アクセスが得られます。攻撃者はその後、脆弱なBCS機能とCVE-2026-63520を悪用してコードを実行することができます。
組織は、今回の調査結果を無関係な2つのパッチ適用課題としてではなく、1つの緊急を要する露出リスクとして扱うべきです。Microsoftは影響を受けるすべてのオンプレミス版に対してセキュリティ更新プログラムを公開済みであり、SharePoint Onlineは影響を受けません。
Censysの調査によると、8月25日時点でおよそ329,000件のSharePointインスタンスが確認されており、そのうちバージョン情報を露出しているオンプレミスシステムは約21,000件に上るとのことです。
管理者は両方の更新プログラムを遅滞なく適用し、可能な限りインターネットへの直接露出を減らし、トークン署名保護が有効になっていることを確認する必要があります。
また、チームは認証ログにおける異常なJWTの使用を確認し、想定外の管理者列挙を調査するとともに、Business Data Catalogへのリクエストに不審なモデルやクラス名が含まれていないか点検すべきです。
不審な活動の調査を迅速化し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/microsoft-sharepoint-flaws-chain/
