脅威インテリジェンス企業Defusedによると、攻撃者は現在、未修正のサーバー上で任意のコード実行を可能にする2件のMicrosoft SharePoint脆弱性を連鎖させた攻撃を仕掛けているとのことです。
1つ目の脆弱性(CVE-2026-55040として追跡)は、JWTトークン検証パイプラインにおける認証バイパスの欠陥で、権限を持たない攻撃者がSharePointサイトのユーザーまたは管理者として操作を実行するために悪用できます。
2つ目の脆弱性(CVE-2026-63520)は、SharePointのBusiness Connectivity Services(BCS)における脆弱性で、認証なしの攻撃者がCVE-2026-55040の悪用に成功した後にこれを連鎖させることで、標的のSharePoint Server上でリモートコード実行(RCE)を達成できます。
両脆弱性については、すでに公開の実証コード(PoC)エクスプロイトが存在します。Rapid7のセキュリティ研究者Stephen Fewer氏が8月11日に(CVE-2026-55040向け、エクスプロイトチェーンの前半部分に相当)、そしてVulnCheckの脆弱性研究者Jonathan Peterson氏が8月24日に(CVE-2026-63520向け)、それぞれ公開しました。
CVE-2026-55040のPoCエクスプロイトがオンラインで公開された翌日、Defusedは、Rapid7のエクスプロイトコードがすでに実際の攻撃で武器化されていたと報告しています。
それから約2週間後の8月25日、同社は、脅威アクターが現在、SharePointの認証バイパスとRCEの脆弱性を連鎖させ、自社のハニーポットを狙う攻撃を行っていると発表しました。
Defusedは火曜日、「当社のハニーポットにおいて、SharePointのCVE-2026-55040とCVE-2026-63520を組み合わせたRCEチェーンが探索されているのを確認しています」と警告しました。「JWTバイパス(55040)が実行された後、活発な管理者列挙と、CVE-2026-63520の背後にあるBusiness Data Catalogシンクへの探索が続いています。今のところコード実行は確認されていません」としています。
インターネットセキュリティの非営利団体Shadowserverは現在、オンライン上に公開されているMicrosoft SharePointサーバーを8,700台以上追跡しています。ただし、そのうちどれだけが攻撃の悪用試行を捕捉するために設置されたハニーポットであるか、あるいはこれらの脆弱性を狙った攻撃に対してすでに対策が施されているサーバーがどれだけあるかについては、詳細は明らかになっていません。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)はすでに8月18日、進行中のCVE-2026-55040攻撃に対してSharePointサーバーを保護するよう、連邦機関およびネットワーク防御担当者に命じています。
MicrosoftはCVE-2026-63520のセキュリティ脆弱性を脅威アクターにとって魅力的な標的だとしていますが、実際に悪用が確認された脆弱性としてはまだタグ付けしていません。
また、CISAは7月15日にも、インターネットに公開されたオンプレミスのSharePoint Serverインスタンスを侵害するために3件の脆弱性(CVE-2026-32201、CVE-2026-45659、CVE-2026-56164)を積極的に悪用している攻撃者に対してサーバーを保護するよう、ネットワーク防御担当者に警告しています。
同サイバーセキュリティ機関は、セキュリティチームに対し、Microsoftが公式に提供しているSharePoint Serverのセキュリティ強化ガイダンスを確認し、必要な場合を除いてSharePointサーバーを直接インターネットに公開しないよう求めています。
また火曜日には、7月上旬から実際の悪用が確認されているSharePointのリモートコード実行脆弱性CVE-2026-45659について、現在はランサムウェア攻撃にも悪用されていることを確認したと発表しました。
CISAは2021年11月以降、15件のMicrosoft SharePoint脆弱性を実際に悪用が確認されたものとして特定しており、そのうち8件はランサムウェア集団による悪用も確認されています。
