多くの企業が使う「SharePoint」に危険な脆弱性の連鎖、パスワードなしで乗っ取れるのはなぜか。2つのCVEの仕組みを確認する

まず初めに

結論から言う。認証をすり抜けるバグと、遠隔操作を許すバグ、この2つが手を組むと「鍵も要らない、合言葉も要らない」という最悪の組み合わせになる。しかもPoCが公開されてから実際の悪用まで、わずか数時間しかかからなかったというのだから恐れ入る。攻撃者にとってはご丁寧に手順書まで用意してもらったようなものだ。社内文書を溜め込む場所として重宝されてきたSharePointだからこそ、この手の脆弱性は洒落にならない。パッチを当てて満足せず、設定ウィザードまで走らせないと片手落ちというのも、なかなか意地の悪い仕様である。※個人の感想です

何が起きているのか

SharePointは、企業内での文書共有やワークフロー管理などに広く使われているMicrosoftの業務ソフトです。自社のサーバーに直接導入する「オンプレミス版」と、Microsoftのクラウド上で使う「SharePoint Online」の2種類がありますが、今回問題になっているのはオンプレミス版です。

セキュリティ企業Rapid7とMicrosoftは2026年8月11日、SharePointに関わる2つの脆弱性を共同で公表しました。1つ目のCVE-2026-55040は、利用者を識別するための認証情報「JWT(ジェイダブリューティー)トークン」の検証処理に不備があり、権限を持たない攻撃者でもトークンを偽造して、SharePointサイトの利用者や管理者になりすませてしまうというものです。ログイン情報も、事前のアクセス権も、利用者の操作も必要ありません。

2つ目のCVE-2026-63520は、SharePointの「Business Connectivity Services」という外部データ連携機能にある、.NETの型の扱い方の不備を突いたリモートコード実行りもーとこーどじっこう(RCE、遠隔から任意のプログラムを実行できてしまう状態)の脆弱性です。深刻度を示すCVSSスコアはv3.1で8.1(最大値10のうち)とされています。

この2つを組み合わせると、ログイン情報を一切持たない攻撃者が、認証をすり抜けたうえでサーバー上のプログラムを自由に実行できる、いわゆる「無認証のリモートコード実行」が成立してしまいます。Rapid7によれば、この脆弱性の連鎖は、人間の研究者の監督のもとAIエージェントを使って発見・実証されたとしています。

Microsoftは8月11日の月例セキュリティ更新(Patch Tuesday)で両方の修正パッチを提供しました。対象はSharePoint Server Subscription Edition、2019、2016のオンプレミス版のほか、Project ServerやOffice Web Apps Serverの一部バージョンです。クラウド版のSharePoint Onlineはこの脆弱性の対象に含まれていません。

海外のセキュリティ専門メディアの報道によれば、CVE-2026-55040についてはRapid7が実証コード(PoC)を公開してから数時間のうちに、実際の攻撃でこの脆弱性が悪用されていることが確認されました。

なぜ重要なのか

SharePointは、社内文書の共有や稟議・承認のワークフロー、部署間の情報連携など、企業の内部情報が集まりやすい場所に位置するソフトです。そこに「認証不要でサーバーを乗っ取れる」脆弱性が見つかったことは、侵入されれば社内文書の閲覧・改ざん・持ち出しにとどまらず、そこを足がかりに社内ネットワークの他の部分へ侵入を広げられるおそれがある点で重要です。

また、Rapid7は「CVE-2026-55040(認証バイパス)のパッチさえ適用すれば、脆弱性の連鎖を断ち切れる」と説明していますが、パッチを適用しただけでは不十分なケースがある点にも注意が必要です。SharePointの更新プログラムは、適用後に「SharePoint製品構成ウィザード」をファーム内の全サーバーで実行しなければ、正しく反映されません。この手順を省略すると、更新プログラムをインストールしたつもりでも、実際には脆弱性が残ったままになってしまいます。

私たちへの影響

一般の消費者が直接この脆弱性の影響を受けることはほとんどありません。ただし、勤務先や取引先の企業がSharePointのオンプレミス版を社内システムとして利用している場合、そこに保管された自分に関わる情報(人事情報や契約書類など)が、間接的に影響を受ける可能性があります。

企業のシステム管理者にとっては、まず自社が対象バージョンのSharePointを利用しているかどうかを確認し、未適用であれば速やかに修正パッチを導入したうえで、SharePoint製品構成ウィザードを全サーバーで実行することが必要です。すでにPoC公開から数時間で悪用が確認されている以上、対応を先送りするリスクは高いといえます。

初心者が知っておくべきこと

「認証バイパス」とは、本来はIDやパスワードなどで本人確認をしなければ入れないはずのシステムに、その確認手順をすり抜けて入り込んでしまうことを指します。今回のCVE-2026-55040は、この認証の仕組みそのものに不備があったケースです。

「リモートコード実行(RCE)」とは、攻撃者が離れた場所から、対象のコンピューターやサーバー上で任意のプログラムを勝手に動かせてしまう状態を指す言葉です。RCEが成立すると、データの窃取・改ざん・破壊など、攻撃者はほぼ何でもできてしまうため、脆弱性の中でも特に深刻度が高いとされています。

IT Postの見方

IT Postでは、脆弱性の発見から公表、修正パッチの提供までをMicrosoftとRapid7が同じタイミングで足並みをそろえて行った点は、利用者保護の観点から評価できる対応だと考えます。一方で、パッチを当てるだけでなく「設定ウィザードの実行」という追加の一手間を利用者側に求める仕組みは、実務の現場では見落とされやすく、結果として脆弱性が残り続ける温床になりかねません。

IT Postでは、ソフトウェアの提供側には、修正の適用状況を利用者自身が簡単に確認できる仕組みを用意してほしいと考えます。パッチを当てたつもりが実は効いていなかった、という事態が一番厄介だからです。※個人の感想です

今後どうなりそうか

すでに悪用が確認されているCVE-2026-55040を中心に、今後さらに被害が広がるかどうかが焦点です。SharePointのオンプレミス版を利用する企業では、パッチ適用状況の総点検が進むとみられます。海外のセキュリティ機関からは、今後もこの脆弱性を悪用した攻撃キャンペーンについて続報が出る可能性があります。IT Postでは、日本国内での被害状況や公的機関からの注意喚起が確認され次第、あらためて取り上げます。