SharePoint Serverの脆弱性CVE-2026-45659の悪用
米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Microsoft SharePoint Serverの逆シリアル化の脆弱性CVE-2026-45659を、2026年7月1日に既知の悪用された脆弱性（KEV）のカタログへ加えた［12］。KEVの項目は、既知のランサムウェアの攻撃活動での使用を「Known」〔注1〕としている［12］。
脆弱性の内容
MicrosoftのSecurity Update Guideによると、Microsoft Office SharePointで信頼できないデータを逆シリアル化することにより、認可された攻撃者がネットワーク経由でコードを実行できる［1］。少なくともSite Memberの権限を持つ認証された攻撃者が、SharePoint Server上でリモートからコードを実行しうる［1］。管理者などの高い権限は要らない［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Microsoft | SharePoint Server 3製品のセキュリティ更新KB5002863・KB5002870・KB5002868を公開し、CVE番号を予約した | ［3、4、5、6］ |
| 2026年 | Microsoft | Security Update GuideでCVE-2026-45659を公開した（改訂1.0） | ［1］ |
| 2026年 | CVE Program、NVD | CVEレコードを公開し、NVDに登録した | ［6、7］ |
| 2026年 | Microsoft | Security Update Guideの改訂1.1を出した | ［1、11］ |
| 2026年 | CISA | CVEレコードのSSVCの評価で、悪用（Exploitation）を「active」とした | ［6］ |
| 2026年 | CISA | KEVへの追加を伝えるアラートを公表した | ［13］ |
| 2026年 | CISA | SharePointの堅牢化を促すアラートを公表した | ［14］ |
| 2026年 | CISA | KEVカタログを更新し、CVE-2026-45659がランサムウェアのグループに悪用されていると確認した | ［17］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| SharePoint Server Subscription Edition | 16.0.0以上16.0.19725.20280未満 | KB5002863（16.0.19725.20280） | ［2、6］ |
| SharePoint Server 2019 | 16.0.0以上16.0.10417.20128未満 | KB5002870（16.0.10417.20128） | ［2、6］ |
| SharePoint Enterprise Server 2016 | 16.0.0以上16.0.5552.1002未満 | KB5002868（16.0.5552.1002） | ［2、6］ |
Microsoftは製品ライフサイクルのページで、SharePoint Server 2019と2016の延長サポートの終了日を、どちらも7月15日としている［9、10］。
悪用の状況
Microsoftの評価は、公開済み（Publicly Disclosed）と悪用（Exploited）がともに「No」で、悪用の可能性は「Exploitation Less Likely」である［1、11］。
CISAは、CVEレコードに付けたSSVCの評価で、自動化の可否（Automatable）を「no」、技術的な影響（Technical Impact）を「total」とした［6］。KEVの項目では対応の期限を7月4日とし、フォレンジックのトリアージ（forensicTriage）の欄を「Yes」にしている［12］。
TenableのFAQでは、CISAは7月14日の注意喚起で、オンプレミスのSharePoint Serverの脆弱性3件の悪用を確認した［15］。対象はCVE-2026-32201、CVE-2026-45659、CVE-2026-56164である［15］。Tenableが伝えたCISAの説明では、攻撃者はこれらを組み合わせてSharePoint Serverに侵入した［15］。侵入の後、IISのマシンキーの抽出、逆シリアル化の手法による永続化、マルウェアの展開を行った［15］。
Tenableは、7月16日の段階で公開の概念実証コードは無いとも書いた［15］。
修正と回避策
Microsoftは改訂1.1で、この脆弱性は5月に出た更新で対処済みだったが、5月のセキュリティ更新の一覧から誤って漏れていたと説明した［1、11］。情報のみの変更で、5月の更新を入れた利用者は追加の対応が要らないとした［1、11］。5月12日に出た3製品の更新の説明は、それぞれ7件のCVEを挙げ、CVE-2026-45659を含んでいない［3、4、5］。SharePoint Workflow Managerを使う場合は、KB5002870の前にKB5002799を入れる必要がある［4］。
CISAはKEVの項目で、開発元の指示に従って緩和策を適用するよう求めた［7］。適用はBOD 26-04「Prioritizing Security Updates Based on Risk」と「Forensics Triage Requirements」に従うとした［7］。クラウドサービスにはBOD 26-04の該当する指針を当て、緩和策が無ければ製品の使用を中止するよう求めた［7］。各資産のインターネットへの露出の評価と、BOD 26-04の修正の指針の順守は、関係者の責任とした［7］。
Security NEXTは7月17日の記事で、CISAが注意喚起でSharePoint Serverの利用者に求めた対策を報じた［19］。
- 最新のパッチの適用と、正常に導入されたことの確認［19］
- AMSIの有効化の確認と監視［19］
- AMSIとMicrosoft Defender Antivirusの検出に対する、インシデント対応計画の実行［19］
- 侵害の状態から復旧したうえでの、キーのローテーション［19］
- インターネットへの直接の公開の回避（認証や検証の機能を備えたレイヤー7のリバースプロキシの利用、管理画面への外部アクセスの遮断、ログ監視の強化）［19］
Tenableの説明では、CISAは注意喚起で、鍵の収集の痕跡を先に除かない限り、鍵のローテーションだけでは完全な修復にならないとした［15］。
未公表の事項
- 逆シリアル化が起きるSharePointの機能
- CISAが悪用と判断した根拠と、悪用を観測した組織
- 悪用を受けた組織の数
- 悪用の主体（Tenableは、7月16日の段階でCISAもMicrosoftも特定の脅威アクターに帰属させていないと書いた［15］）
- CISAがランサムウェアでの使用を「Known」とした根拠
注
- 〔注1〕Tenableの7月16日のFAQの表では、この脆弱性の既知のランサムウェアでの使用は「Unknown」だった［15］。
出典
当事者
- ［1］Microsoft Corporation『Microsoft SharePoint Remote Code Execution Vulnerability』（2026年5月21日公開、2026年5月26日更新）
- ［2］Microsoft Corporation『Security Update Guide 影響を受ける製品（CVE-2026-45659）』（2026年5月21日公開）
- ［3］Microsoft Corporation『Description of the security update for SharePoint Server Subscription Edition: May 12, 2026 (KB5002863)』（2026年5月12日公開）
- ［4］Microsoft Corporation『Description of the security update for SharePoint Server 2019: May 12, 2026 (KB5002870)』（2026年5月12日公開）
- ［5］Microsoft Corporation『Description of the security update for SharePoint Server 2016: May 12, 2026 (KB5002868)』（2026年5月12日公開）
- ［11］Microsoft Corporation『May 2026 Security Updates』（2026年5月12日公開）
公的機関
- ［6］The MITRE Corporation『CVE-2026-45659』（2026年5月22日公開、2026年8月11日更新）
- ［7］National Institute of Standards and Technology『CVE-2026-45659 Detail』（2026年5月22日公開、2026年7月23日更新）
- ［12］Cybersecurity and Infrastructure Security Agency『CISA Catalog of Known Exploited Vulnerabilities』（2026年7月1日公開）
- ［13］Cybersecurity and Infrastructure Security Agency『CISA Adds One Known Exploited Vulnerability to Catalog』（2026年7月1日公開、保存記録のみ） 保存記録
- ［14］Cybersecurity and Infrastructure Security Agency『CISA Urges SharePoint Hardening After New Exploitations』（2026年7月14日公開、保存記録のみ） 保存記録
調査・観測
報道機関
- ［17］The Hacker News, Inc.『SharePoint RCE CVE-2026-45659 Added to CISA KEV After Active Exploitation』（2026年7月2日公開、2026年8月11日更新）
- ［19］ニュースガイア株式会社『「SharePoint Server」の複数脆弱性悪用で対策呼びかけ - 米当局』（2026年7月17日公開）
背景資料
- ［9］Microsoft Corporation『SharePoint Server 2019 - Microsoft Lifecycle』（2018年10月22日公開）
- ［10］Microsoft Corporation『SharePoint Server 2016 - Microsoft Lifecycle』（2016年5月1日公開）
更新記録
- 2026年7月2日：公開した。
- 2026年7月14日：CISAの7月14日のアラート（出典14）を「時系列」に加えた。
- 2026年7月16日：Tenable, Inc.の7月16日のFAQ（出典15）を加え、「悪用の状況」「修正と回避策」「未公表の事項」「注」を改めた。
- 2026年7月17日：Security NEXTの7月17日の記事（出典19）を加え、「修正と回避策」を改めた。
- 2026年7月23日：National Vulnerability Databaseの7月23日の更新版（出典7）に合わせて、「脆弱性の内容」と「修正と回避策」のKEVの項目の記述を改めた。
- 2026年8月11日：CVEレコードの8月11日の更新（出典6）とThe Hacker Newsの記事の8月11日の追記（出典17）を加え、リードと「時系列」を改めた。