オンプレミスSharePointを狙う攻撃が拡大　機械キー窃取で認証を突破する可能性

The Hacker Newsは2026年7月21日、Microsoft SharePoint Serverのリモートコード実行脆弱性「CVE-2026-50522」の悪用を報じました。本記事では、同報道に加えてMicrosoftおよびCISAが公開した公式情報に基づき、対象ビルドや必要な対応策を整理します。攻撃者はオンプレミス環境から機械キーを窃取し、更新プログラムの適用後も不正アクセスを継続できる状態を作ろうとしている可能性があります。CISAも2026年7月22日、この脆弱性を実際の攻撃で悪用されている脆弱性としてKEVカタログへ追加しました。

The Hacker News：Critical SharePoint RCE CVE-2026-50522 Under Active Exploitation After Public PoC

この記事のポイント

影響のあるシステム

• Microsoft SharePoint Enterprise Server 2016：ビルド16.0.5561.1001未満
• Microsoft SharePoint Server 2019：ビルド16.0.10417.20175未満
• Microsoft SharePoint Server Subscription Edition：ビルド16.0.19725.20434未満
• インターネットまたは外部ネットワークからアクセス可能なオンプレミスのSharePoint Server
• SharePointと連携して稼働するInternet Information Services（IIS）
• 上記のSharePoint環境で使用されているASP.NETの機械キー、サービスアカウントおよび関連する認証情報

Microsoftが公開した影響製品には、オンプレミス向けのSharePoint Server 2016、2019、Subscription Editionが記載されています。Microsoft 365上でMicrosoftが運用するSharePoint Onlineは、CVE-2026-50522の影響製品一覧には含まれていません。

推奨される対策

• SharePoint Serverへ2026年7月14日に公開されたセキュリティ更新プログラムを直ちに適用する
• 更新後のビルド番号を確認し、SharePoint製品構成ウィザードを含む必要な適用処理が完了していることを確認する
• SharePoint Server 2016にはKB5002891を適用する
• SharePoint Server 2019にはKB5002883を適用する
• SharePoint Server Subscription EditionにはKB5002882を適用する
• インターネットへ直接公開しているSharePoint Serverを洗い出し、不要な外部公開を停止する
• 外部公開が必要な場合は、認証と通信検査が可能なレイヤー7リバースプロキシなどの背後に配置する
• 各SharePoint WebアプリケーションでAMSI連携が有効になっていることを確認する
• SharePoint Server Subscription Editionで利用できる場合は、要求本文を検査するAMSIのFull Modeを検討する
• 不審なリクエスト、SharePointワーカープロセスの異常動作、Webシェル、機械キーへのアクセスを調査する
• 侵害の痕跡や攻撃者の永続化手段を除去した後、IISまたはASP.NETの機械キーをローテーションする
• 侵害された可能性のあるサーバーで使用されていたサービスアカウント、パスワード、トークンなどを更新する
• SharePointの全体管理画面への外部アクセスを遮断し、ファーム内通信とデータベース通信を必要なシステムだけに制限する

更新プログラムを適用するだけでは、すでに窃取された機械キーや認証情報を無効化できない場合があります。攻撃を受けた可能性がある環境では、ログ調査と侵害範囲の特定、永続化手段の除去、機械キーや関連認証情報の更新までを一連の対応として実施する必要があります。

※上記の対策は、報道された攻撃手法に加え、MicrosoftおよびCISAから公開された公式アドバイザリに基づきた対応手順です。

公開された実証コードを追うように攻撃活動を観測

Microsoftは2026年7月14日、月例のセキュリティ更新においてCVE-2026-50522を修正しました。この脆弱性はCVSS基本値9.8のCriticalに分類され、ネットワーク経由で悪用でき、攻撃の複雑さも低いと評価されています。Microsoftは更新プログラムの公開時点で、実際の攻撃による悪用を「確認していない」としながらも、今後の悪用可能性を「Exploitation More Likely」と評価していました。

その後、脆弱性を再現する公開PoCが登場し、セキュリティ企業watchTowrは、オンプレミスのMicrosoft SharePoint環境に対するCVE-2026-50522の悪用を観測したと報告しました。攻撃者は、単一のリクエストを通じてSharePoint Serverの機械キーを取得しようとしていたとされています。

Defused Cyberも、SharePointのサインイン用エンドポイントに対し、.NETのデシリアライズ処理を悪用するペイロードが送信された可能性を報告しています。同社が確認した通信には認証情報が含まれておらず、認証されていない攻撃者が悪用できるとするCVE情報と一致していたと説明されています。

CISAは2026年7月22日、CVE-2026-50522をKnown Exploited Vulnerabilitiesカタログへ追加しました。米国連邦政府の民間行政機関には2026年7月25日までの対応が求められています。この期限は日本企業へ直接適用されるものではありませんが、脆弱性がすでに現実の攻撃で使用されており、通常の更新計画を待たずに優先対応すべき状況であることを示しています。

出典：Microsoft Security Response Center「CVE-2026-50522」、CISA Known Exploited Vulnerabilities Catalog

Microsoftの公開情報に残る認証条件の不一致

CVE-2026-50522については、Microsoftが公開している情報の中に、攻撃に必要な権限に関する不一致が確認できます。MicrosoftのFAQでは、ネットワークベースの攻撃において、少なくともSite Ownerとして認証された攻撃者が任意のコードを挿入し、SharePoint Server上で実行できると説明されています。

一方、同じMicrosoftのアドバイザリに記載されたCVSSベクトルは「PR:N」とされており、攻撃に事前の権限が不要であることを示しています。脆弱性の公式な説明にも、認証されていない攻撃者がネットワーク経由でコードを実行できると記載されています。NVDに掲載されたMicrosoft提供の情報も、CVSS 3.1で「AV:N／AC:L／PR:N／UI:N」となっています。

さらに、Defused Cyberが確認したとする攻撃リクエストにも認証情報が含まれていなかったと報告されています。この状況から、管理者は「Site Owner権限を持つアカウントが侵害されなければ悪用されない」と判断すべきではありません。Microsoftから追加の説明や修正が公開されるまでは、外部から到達可能な未更新のSharePoint Serverに対し、認証を必要としない攻撃が成立する可能性を前提として対応することが安全です。

この不一致は更新プログラムの必要性を下げるものではなく、むしろ攻撃条件を限定して対応を遅らせることが危険であることを示しています。更新プログラムの適用に加え、認証前に処理されるリクエスト、SharePointのサインイン関連エンドポイント、異常なワーカープロセスの動作を重点的に確認する必要があります。

出典：Microsoft Security Response Center「CVE-2026-50522」、NIST National Vulnerability Database「CVE-2026-50522」

機械キーの窃取がパッチ適用後の侵入継続につながる

今回の攻撃で特に注意すべき点は、SharePoint Serverの機械キーが標的になっていることです。機械キーは、ASP.NETアプリケーションが認証情報や状態データの署名、暗号化、検証などに使用する秘密情報です。攻撃者が有効な機械キーを取得した場合、サーバーが正規のものとして受け入れる認証データを生成し、利用者になりすます可能性があります。

このため、脆弱性を修正する更新プログラムを適用しても、攻撃前に窃取された機械キーがそのまま残っていれば、攻撃者が別の方法でアクセスを継続できるおそれがあります。watchTowrは、攻撃を受けた可能性がある資産については、パッチ適用だけでは不十分であり、関連する資格情報を更新する必要があると警告しています。

ただし、機械キーを直ちに変更するだけで対応を完了させるべきではありません。サーバー内にWebシェルや不審なアカウント、タスク、サービスなどの永続化手段が残っている場合、新しい機械キーも再び窃取される可能性があります。最初に不審なリクエスト、SharePointワーカープロセスの子プロセス、ファイルの作成や変更、Web.configへのアクセスなどを調査し、侵害経路と永続化手段を除去したうえで、機械キーと関連するサービスアカウントの認証情報を更新する必要があります。

また、SharePoint Serverは社内文書やユーザー情報を管理し、Active Directoryやデータベースなどの内部システムと連携している場合があります。侵害が確認された際は、SharePoint単体の問題として処理せず、同じ認証情報を使用していたサーバーや、SharePointからアクセス可能なシステムまで調査範囲を広げることが重要です。

出典：watchTowr「CVE-2026-50522 Exploitation Alert」、CISA「CISA Urges SharePoint Hardening After New Exploitations」

複数のSharePoint脆弱性が連続して攻撃に使用

CVE-2026-50522は、2026年に実際の攻撃での悪用が確認されたSharePoint Serverの脆弱性の一つです。The Hacker Newsが紹介したCISAの警告では、CVE-2026-32201、CVE-2026-45659、CVE-2026-56164、CVE-2026-58644など、複数のSharePoint Server脆弱性がオンプレミス環境への不正アクセスに使用されているとされています。

これらの脆弱性では、認証の回避や権限の取得、信頼できないデータのデシリアライズ、リモートコード実行など、異なる問題が悪用されています。攻撃者は、SharePoint Serverへ最初に侵入した後、IISの機械キーを窃取してアクセスを維持したり、マルウェアやWebシェルを設置したりする可能性があります。

複数の脆弱性が同時期に悪用されている状況では、特定のCVEだけを修正して対応を完了させることは適切ではありません。2026年7月の更新プログラムだけでなく、それ以前の累積更新やセキュリティ更新が正しく適用されているかを確認し、SharePoint Serverの現在のビルド番号をMicrosoftの公開情報と照合する必要があります。

また、攻撃ログに残る通信がどのCVEを悪用したものかを直ちに特定できない場合もあります。脆弱性番号の判定を待つのではなく、不審な外部リクエスト、Webシェル、機械キーへのアクセス、SharePointワーカープロセスから起動された異常なプロセスなど、侵害を示す挙動を基準として封じ込めと調査を進めることが重要です。

出典：CISA「CISA Urges SharePoint Hardening After New Exploitations」

日本企業が直ちに確認すべき対応

オンプレミスのSharePoint Serverを運用している企業は、最初に対象製品と現在のビルド番号を確認する必要があります。SharePoint Server 2016では16.0.5561.1001、SharePoint Server 2019では16.0.10417.20175、SharePoint Server Subscription Editionでは16.0.19725.20434が、CVE-2026-50522を修正したビルドとしてMicrosoftから示されています。

更新プログラムを適用した後は、インストール結果だけでなく、各SharePointサーバーへ正しいビルドが反映されたことを確認してください。複数台でファームを構成している場合、一部のサーバーだけが未更新のまま残ると、攻撃経路が維持される可能性があります。更新に必要なSharePoint製品構成ウィザードなどが完了していることも確認する必要があります。

次に、インターネットからSharePoint Serverへ直接アクセスできる構成を確認します。外部公開が不要な場合は通信を停止し、必要な場合でも、認証と通信内容の検査が可能なリバースプロキシや同等のアプリケーション層のセキュリティ制御を利用することが推奨されます。SharePointの全体管理画面は外部へ公開せず、ファームとデータベースの通信も必要なシステムに限定する必要があります。

CISAは、SharePoint WebアプリケーションごとにAMSI連携が有効であることを確認し、不審なリクエスト、異常なワーカープロセス、Webシェル、機械キーへのアクセスを監視するよう推奨しています。SharePoint Server Subscription Editionで要求本文の検査機能を使用できる場合は、運用への影響を確認したうえでFull Modeを選択することも検討対象となります。

侵害が疑われる場合は、サーバーの隔離、外部通信の制限、証拠保全、侵入経路の調査を優先してください。その後、攻撃者の永続化手段を除去し、機械キー、サービスアカウント、関連するパスワードやトークンを更新します。パッチ適用の有無だけで安全と判断せず、更新前に攻撃を受けていなかったかまで確認することが、今回の脆弱性への対応では重要です。

出典：Microsoft「SharePoint Server 2016：KB5002891」、Microsoft「SharePoint Server 2019：KB5002883」、Microsoft「SharePoint Server Subscription Edition：KB5002882」、Microsoft Learn「SharePoint ServerとのAMSI統合を構成する」

参考文献・記事一覧

• The Hacker News：Critical SharePoint RCE CVE-2026-50522 Under Active Exploitation After Public PoC
• Microsoft Security Response Center：CVE-2026-50522
• NIST National Vulnerability Database：CVE-2026-50522
• CISA：Known Exploited Vulnerabilities Catalog
• CISA：CISA Urges SharePoint Hardening After New Exploitations
• watchTowr：CVE-2026-50522 Exploitation Alert
• Defused Cyber：CVE-2026-50522 Exploitation Activity
• Microsoft：SharePoint Server 2016向けセキュリティ更新プログラム KB5002891
• Microsoft：SharePoint Server 2019向けセキュリティ更新プログラム KB5002883
• Microsoft：SharePoint Server Subscription Edition向けセキュリティ更新プログラム KB5002882
• Microsoft Learn：SharePoint ServerとのAMSI統合を構成する

投稿者プロフィール

CyberCrew（サイバークルー）

CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）

最新の投稿

• 2026.07.27オンプレミスSharePointを狙う攻撃が拡大　機械キー窃取で認証を突破する可能性
• 2026.07.26盗まれた認証情報からWindowsサーバーへ侵入　AI支援でAD情報を大量収集
• 2026.07.25AIがベンチマーク解答を求めてゼロデイを悪用、認証情報の窃取とRCEに発展
• 2026.07.24U-Bootに6件の脆弱性、細工された起動イメージでコード実行や端末停止の恐れ