Microsoft SharePointに存在する2つの異なる脆弱性が組み合わさり、完全に機能する悪質な攻撃チェーンが誕生しました。この強力な組み合わせにより、攻撃者は正規のユーザーアカウントを一切必要とせずに、標的サーバー上で任意のコードをリモートから実行できてしまいます。最初の脆弱性は巧妙ななりすましを可能にし、攻撃者は一般ユーザーはもちろん、権限を持つ管理者としても振る舞うことができます。続いて2つ目の脆弱性が、こうして不正に取得した権限を悪用し、破壊的なWindowsコマンドを実行する仕組みです。VulnCheckの優秀なセキュリティ専門家たちはこの実際に機能する攻撃チェーンの構築に成功し、CVE-2026-63520の脆弱性に対して少なくとも2つの異なる悪用経路が存在することを明確に実証しました。
なりすまし攻撃の仕組み
この破壊的な攻撃チェーンの最初のリンクを担うのが、深刻度スコア9.1という危険なCVE-2026-55040です。この脆弱性は、SharePointがJWTトークンを検証する仕組みの奥深くに潜んでいます。Rapid7の専門家たちが突き止めたところによると、SharePointがこれらのトークンを検証する方法には複数の欠陥が同時に存在していました。これらの欠陥が積み重なることで、認証されていないリモートユーザーでも不正なJWTを巧妙に偽造できてしまいます。その結果、攻撃者はサイト管理者を含む任意のSharePointユーザーになりすまして操作できるようになります。
重要な点として、CVE-2026-55040単体では侵害対象のサーバー上でコードを実行することはできません。しかし、この脆弱性は攻撃チェーンの後半を展開するうえで不可欠な、昇格した権限を確実に提供してしまいます。
Business Connectivity Servicesを介した任意コード実行
続く脆弱性であるCVE-2026-63520(深刻度スコア8.1)は、Business Connectivity Servicesに直接影響を及ぼします。SharePointは外部データソースを統合するためにこのサービスを利用しています。ところが驚くべきことに、このサービスはBDCモデル内で指定された.NET型を、厳密な検証手続きを行わずにインスタンス化できる状態にありました。
最初の攻撃によって必要な権限を手に入れた攻撃者は、巧妙に細工したモデルを悪意を持ってアップロードすることができます。これにより、サイトを運用しているサービスアカウントの昇格した権限を使って、SharePointに任意のコマンドを強制的に実行させることが可能になります。
興味深いことに、Rapid7とVulnCheckはシステムにコードを実行させるためにまったく異なる手法を用いました。Rapid7版はDatabaseタイプのBDCシステムとObjectDataProviderベースのチェーンを利用しました。一方、VulnCheckはDotNetAssemblyとLosFormatterを選択しています。この2つの独立した手法の存在は、脆弱な仕組みが単一の特定手法に固定されているわけではないことを明確に示しています。実際、まだ発見されていない他の悪用方法も有効である可能性があります。
拡大する脅威の実態
これら2つの脆弱性が組み合わさることで、極めて危険な状況が生まれています。CVE-2026-55040が認証要件を完全に無力化し、CVE-2026-63520による任意コード実行への道を切り開いてしまうのです。VulnCheckは、ハニーポットや重複ノードを包括的なサンプルから慎重に除外したうえでも、インターネット経由でアクセス可能な脆弱なSharePointサーバーが少なくとも8,500台存在すると見積もっています。同社の専門家たちは、詳細な技術分析を公表するよりもかなり前に、完全に機能する攻撃チェーンの実証版を用意していました。
研究室の外へと広がる悪用
憂慮すべきことに、この攻撃チェーンの最初の部分は、すでに理論上の実証実験の域を超えています。8月18日、米国の権威あるCISA(サイバーセキュリティ・インフラセキュリティ庁)は、実際の攻撃が確認されたことを受けてCVE-2026-55040を既知の悪用された脆弱性(KEV)カタログに正式に追加しました。米連邦機関にとって、必要な修正プログラムの導入が義務付けられた厳格な期限は8月21日に既に過ぎています。ただし8月26日時点では、CVE-2026-63520が実際の攻撃で悪用されているという公式な確認は出ていません。
異例の発見プロセス
これらの脆弱性が発見された経緯もまた注目に値します。Rapid7はこのプロジェクトを、一般公開されているAIモデルを使ってクローズドソースの企業製品を徹底的に分析するという、斬新な実験として立ち上げました。完全に自律的なアプローチは最終的に信頼性を欠くことが判明しました。そのため専門家たちは、AIエージェントの結論を継続的に検証し、探索パラメータを注意深く誘導し続けました。
機能する攻撃チェーンを特定するまでに、このAIシステムは24日間にわたり約120時間稼働しました。96回のセッションを実施し、およそ80,000回のツール呼び出しを実行しています。この画期的な実験の過程で、人間の担当者はエージェントに対して256件の具体的な指示を出しました。CVE-2026-55040は3月上旬に発見され、CVE-2026-63520はその約2週間後に姿を現しました。
パッチ適用と緩和策
研究者たちは当初、この強力な攻撃チェーンを名高いPwn2Own Berlin大会向けに用意していました。Rapid7は5月18日、責任ある形でこの発見をMicrosoftに開示しました。5月20日までにMicrosoftはこの深刻な問題を正式に認め、修正を2回の更新サイクルに分割して対応するという賢明な判断を下しました。Microsoftは認証バイパスを7月に修正し、リモートコード実行の脆弱性については8月に対処しています。
Rapid7は当初、CVE-2026-63520に関する詳細な技術情報の公開を30日間差し控える予定でした。しかしVulnCheckが包括的な分析を公表したことを受け、Rapid7は8月24日に自社版の詳細を予定より早く公開しました。
必要な更新プログラムの適用
Microsoftは、CVE-2026-55040に対応する重要な更新プログラムを7月にリリースしました。SharePoint Server Subscription EditionはKB5002882を通じてビルド16.0.19725.20434を受け取っています。攻撃チェーンの後半部分は8月のリリースまで脆弱なままだったため、7月の更新のみを適用するだけでは危険なほど不十分です。
MicrosoftはCVE-2026-63520を8月11日に無力化することに成功しました。SharePoint Server Subscription Editionについては、KB5002893による修正済みビルド16.0.19725.20522が提供されています。さらに、8月のSubscription Edition向け更新プログラムはデフォルトの動作も変更しました。ファイルからBDCモデルを直接インポートしなくなり、明示的に許可された.NET型のみを厳密に許可することで、危険な仕組みを大幅に制限しています。
オンプレミスのSharePointサーバーを管理する管理者は、両方の包括的なパッチセットが確実にインストールされているか、今すぐ入念に確認する必要があります。CVE-2026-55040に対する修正だけに頼ることは容認できません。この攻撃チェーンの一部はすでに実際の攻撃で悪用され続けています。2つ目の脆弱性に対する複数の実用的な悪用手法が、攻撃チェーン全体の詳細な情報とともにすでに公開されているのです。パッチが未適用のままインターネット上に残されたサーバーにとって、技術詳細の公開からすぐに使える悪用ツールの登場までの安全な猶予期間は、事実上完全に閉ざされてしまいました。
翻訳元: https://meterpreter.org/microsoft-sharepoint-exploit-chain/
