SharePoint Serverの脆弱性CVE-2026-58644の悪用
Microsoftの公告によると、CVE-2026-58644はMicrosoft Office SharePointでの信頼できないデータの逆シリアル化により、認可されていない攻撃者がネットワーク経由でコードを実行できる脆弱性で、悪用が確認されている［1］。Microsoftは、この脆弱性のセキュリティ更新は公開済みだったが、CVEが2026年6月のリリースから誤って漏れていたと説明した［1］。
脆弱性の内容
Microsoftは公告のFAQで、少なくともサイト所有者として認証された攻撃者〔注1〕が、ネットワーク経由の攻撃でSharePoint Server上に任意のコードを書き込み、リモートで注入して実行できると説明した［1］。同じFAQは、この脆弱性がインターネットから悪用できると記した［1］。攻撃条件の複雑さが低いのは、攻撃者がシステムの事前の知識を要さず、ペイロードで繰り返し成功できるためとした［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| Microsoftの題 | Microsoft SharePoint Remote Code Execution Vulnerability | ［1］ |
| CVSS 3.1（Microsoft） | 基本値9.8、現状値9.1 | ［1］ |
| ベクトル（Microsoft） | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C | ［1］ |
| CWE | CWE-502（Deserialization of Untrusted Data） | ［1］ |
| 深刻度と影響（Microsoft） | Critical、Remote Code Execution | ［1］ |
| 悪用と一般公開（Microsoft） | 悪用あり（Exploitation Detected）、一般公開なし | ［1］ |
| SSVC（CISA） | Exploitation: active、Automatable: yes、Technical Impact: total | ［6］ |
| KEVでの名称（NVDの記録） | Microsoft SharePoint Deserialization of Untrusted Data Vulnerability | ［12］ |
| VPR（Tenable） | 7.9 | ［16］ |
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Microsoft | KB5002873・KB5002874・KB5002880を出し、各KBが対処するCVEの一覧にCVE-2026-58644を載せた | ［3、4、5］ |
| 2026年 | Microsoft | 公告を公開した（改訂1.0・1.1） | ［1］ |
| 2026年 | CVE Program | 17時5分（UTC）にCVEレコードを公開した（CNAはMicrosoft） | ［6］ |
| 2026年 | CISA | SharePointの堅牢化を促す告知を掲載した | ［8］ |
| 2026年 | Microsoft | 改訂1.2で、公開時に誤っていたExploitability Index・悪用の有無の値・CVSSベクトルを訂正した（情報のみの変更） | ［1］ |
| 2026年 | CISA | KEVカタログに追加し、追加の告知を掲載した | ［6、7］ |
| 2026年 | NCSC NZ | CVE-2026-58644とCVE-2026-50522の注意喚起を出した | ［13］ |
| 2026年 | CERT-EU | 勧告2026-009をv1.1に改め、悪用が続く脆弱性にCVE-2026-58644を加えた | ［14］ |
| 2026年 | JPCERT/CC | 7月の注意喚起に、CVE-2026-58644の悪用についてMicrosoftが情報を更新した旨を追記した | ［9］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| SharePoint Server Subscription Edition | 16.0.19725.20384より前 | KB5002873（16.0.19725.20384） | ［1、13］ |
| SharePoint Server 2019 | 16.0.10417.20153より前 | KB5002874（16.0.10417.20153） | ［1、13］ |
| SharePoint Enterprise Server 2016 | 16.0.5556.1005より前 | KB5002880（16.0.5556.1005） | ［1、13］ |
Microsoftは、SharePoint Server 2016とSharePoint Enterprise Server 2016には同じKB番号の更新が当たると説明した［1］。Subscription Edition向けの更新は、Version 26H1の機能更新を含む［3］。
JPCERT/CCは注意喚起への追記〔注2〕で、SharePoint Server 2019と2016は7月14日（現地時間）をもってサポートが終了していると記した［9］。Microsoftのライフサイクルのページでは、SharePoint Server 2019の延長サポートの終了日は7月15日6時59分59秒（太平洋時間）になっている［11］。
Censysは、観測したSharePointのWeb資産が約33万4,000件で、ほぼすべてがSharePoint Onlineだったと報告した［17］。ホスト単位で数えると約1,500台がオンプレミス版を動かし、主にSharePoint 2019だった［17］。Censysは、MicrosoftがSharePoint Onlineを修正済みで、その利用者に追加の対応は要らないと記した［17］。
悪用の状況
The Hacker Newsは、CISAがCVE-2026-32201・CVE-2026-45659・CVE-2026-56164・CVE-2026-58644を含む複数のSharePoint Serverの脆弱性の悪用を警告したと報じた〔注3〕［10］。記事が引いたCISAの文では、これらの脆弱性はサポート中のすべてのオンプレミス版（Subscription Edition・2019・2016）に影響する［10］。リモートコード実行の確立と、永続化とマルウェアの展開のためのIISのマシンキーの窃取や逆シリアル化の手法などの侵害後の活動を伴う［10］。
ニュージーランドのNational Cyber Security Centre（NCSC NZ）は、CVE-2026-58644とCVE-2026-50522の2件の重大な脆弱性が悪用されているとした［13］。
Rapid7の報告では、公開した段階でIPアドレス、ドメイン、URLなどのネットワーク上の侵害の痕跡は広く公開されていなかった［15］。Tenableは、7月16日の段階でCISAもMicrosoftも悪用を特定の攻撃者に帰属させておらず、公開の概念実証コード（PoC）も無いと記した［16］。
修正と回避策
NVDの記録によると、CISAがKEVで求める対応は、ベンダーの指示に従い、BOD 26-04と「Forensics Triage Requirements」に沿って緩和策を適用することである［12］。クラウドサービスにはBOD 26-04の該当する指針に従い、緩和策が無ければ製品の利用を中止するよう求めた［12］。対応期限は7月19日である［12］。The Hacker Newsは、CISAが連邦文民行政機関にこの期限までの修正の適用を求めたと報じた［10］。
CISAがSharePointの堅牢化策として挙げた措置も、同じ記事が伝えている［10］。
- 最新の修正の適用と、適用の確認［10］
- SharePointの各WebアプリケーションでAMSI（Antimalware Scan Interface）連携が有効になっていることの確認［10］
- マシンキーの窃取ツールなどの侵入の痕跡を探して除去した後のIISマシンキーのローテーション［10］
- 検知のためのログ［10］
- 必要がなければSharePoint Serverをインターネットに直接公開しないこと［10］
- SharePoint Central Administrationへの外部アクセスの遮断［10］
NCSC NZは修正版への更新を求め、すぐに対処できない場合はSharePointをインターネットから隔離するよう勧めた［13］。CERT-EUが勧めたのは、影響を受けるサーバーの早急な更新、脆弱でインターネットに露出していた可能性のある資産の認証情報のローテーション、侵害の評価である［14］。SharePoint Serverをインターネットに直接公開することの再検討も求めた［14］。JPCERT/CCは、悪用に関する情報が公開されているとして、SharePoint Serverを使っている場合は速やかに対策と侵害の有無の調査を実施するよう推奨した［9］。
Rapid7は、7月14日のSharePointのセキュリティ更新をすべて適用していれば、CVE-2026-58644と、7月22日にKEVへ追加された別の脆弱性CVE-2026-50522の両方から保護されると追記した［15］。
未公表の事項
- 悪用の手口と侵入の入口
- 悪用を受けた組織の数と地域
- 攻撃者の帰属
- 発見者・報告者
- 公告の概要・CVSSとFAQで攻撃者の前提が異なることについてのMicrosoftの説明
注
- 〔注1〕CERT-EUとCensysは、認証なしでリモートコード実行ができる脆弱性と記した［14、17］。Tenableは、少なくともサイト所有者の権限を持つ認証された攻撃者が悪用できると説明した［16］。
- 〔注2〕JPCERT/CCの7月15日の初版は、悪用されているとした脆弱性にCVE-2026-56164とCVE-2026-56155を挙げていた［9］。日本マイクロソフトの7月の月例の告知も同じ2件を挙げた［2］。
- 〔注3〕Tenableによると、CISAの7月14日の告知はこの脆弱性を未悪用だが早急な修正を要するものとした［16］。Security NEXTは、当初は含まれずKEV登録後に追加されたと報じた［20］。
出典
当事者
- ［1］Microsoft Corporation『CVE-2026-58644 Microsoft SharePoint Remote Code Execution Vulnerability』（2026年7月14日公開、2026年7月15日更新）
- ［2］日本マイクロソフト株式会社『2026 年 7 月のセキュリティ更新プログラム (月例)』（2026年7月14日公開）
- ［3］Microsoft Corporation『Description of the security update for SharePoint Server Subscription Edition: June 9, 2026 (KB5002873)』（2026年6月9日公開）
- ［4］Microsoft Corporation『Description of the security update for SharePoint Server 2019: June 9, 2026 (KB5002874)』（2026年6月9日公開）
- ［5］Microsoft Corporation『Description of the security update for SharePoint Server 2016: June 9, 2026 (KB5002880)』（2026年6月9日公開）
公的機関
- ［6］CVE Program『CVE-2026-58644』（2026年7月14日公開、2026年11月1日更新）
- ［7］Cybersecurity and Infrastructure Security Agency『CISA Adds Three Known Exploited Vulnerabilities to Catalog』（2026年7月16日公開、保存記録のみ） 保存記録
- ［8］Cybersecurity and Infrastructure Security Agency『CISA Urges SharePoint Hardening After New Exploitations』（2026年7月14日公開、保存記録のみ） 保存記録
- ［9］一般社団法人JPCERTコーディネーションセンター『2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起（JPCERT-AT-2026-0020）』（2026年7月15日公開、2026年7月31日更新）
- ［12］National Institute of Standards and Technology『CVE-2026-58644』（2026年7月14日公開、2026年7月17日更新）
- ［13］National Cyber Security Centre『CVE-2026-58644 and CVE-2026-50522 affecting SharePoint Server』（2026年7月17日公開）
- ［14］CERT-EU『Critical Vulnerabilities in Microsoft SharePoint』（2026年7月22日公開）
調査・観測
- ［15］Rapid7, Inc.『CVE-2026-58644: Microsoft SharePoint Server Unauthenticated Remote Code Execution Vulnerability Exploited in the Wild』（2026年7月17日公開、2026年7月23日更新）
- ［16］Tenable, Inc.『SharePoint CVEs FAQ: CVE-2026-56164, CVE-2026-32201, CVE-2026-45659』（2026年7月16日公開）
- ［17］Censys, Inc.『July 17 Advisory: Microsoft SharePoint Server RCE \[CVE-2026-50522, CVE-2026-58644\]』（2026年7月17日公開）
報道機関
- ［10］The Hacker News『CISA Adds Exploited SharePoint RCE Zero-Day CVE-2026-58644 to KEV』（2026年7月17日公開）
- ［20］株式会社ニュースガイア『「SharePoint Server」の複数脆弱性悪用で対策呼びかけ - 米当局』（2026年7月17日公開）
背景資料
- ［11］Microsoft Corporation『SharePoint Server 2019 - Microsoft ライフサイクル』（2024年9月27日公開、2026年10月12日更新）
更新記録
- 2026年8月6日：公開した。
- 2026年10月12日：Microsoftのライフサイクルのページ（出典11。10月12日更新）でSharePoint Server 2019の延長サポートの終了日を「対象の製品と版」に加えた。
- 2026年11月1日：CVE Programが11月1日に更新したCVEレコード（出典6）を加え、「脆弱性の内容」と「時系列」を改めた。