概要
米サイバーセキュリティ・インフラセキュリティ庁（CISA）は8月11日、オンプレミス版Microsoft SharePoint Serverのリモートコード実行脆弱性「CVE-2026-45659」が、ランサムウェア攻撃に悪用され始めたことを新たに確認したと発表した。同脆弱性は7月1日にCISAの「既知の悪用脆弱性（KEV）」カタログへ追加済みで、当初は情報窃取など一般的な不正アクセスでの悪用が確認されていたが、8月10日以降はより深刻なランサムウェア展開への転用が進んでいることが判明した。複数のセキュリティ専門家は、中国と関連するとされる脅威グループ「Storm-2603」の関与を指摘しており、同グループは過去にSharePointを標的とした「ToolShellキャンペーン」で「Warlockランサムウェア」を展開した実績がある。
脆弱性の技術的詳細
CVE-2026-45659は、信頼できないデータの逆シリアル化（デシリアライゼーション）に起因するリモートコード実行の欠陥で、CVSSスコアは8.8（高深刻度）と評価されている。低い攻撃複雑性かつ最小限の権限で悪用可能な点が特徴で、パッチ未適用のSharePointサーバーに対し、攻撃者が任意のコードを実行できてしまう。対象となるのはSharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Editionのオンプレミス版で、クラウド版のSharePoint Onlineは対象外とみられる。Shadowserverの調査によれば、インターネットに露出しているSharePointサーバーは8,500台以上に上り、そのうち200台以上が本脆弱性に対して未パッチのままだという。
悪用の経緯とタイムライン
Microsoftは5月にこの脆弱性を修正するセキュリティ更新プログラムをリリースしていたが、CISAは7月1日にKEVカタログへ追加し、連邦機関に対して3日以内の対応を義務付けた。その後7月を通じて積極的な悪用が確認され、8月10日にはランサムウェア攻撃への転用がCISAに報告された。CISAは「この種の脆弱性は悪質なサイバー行為者にとって頻繁な攻撃ベクトルであり、連邦企業に多大なリスクをもたらす」とし、攻撃が低い複雑性で繰り返し成功させられる点に警鐘を鳴らしている。
対応策
Microsoftおよび専門家は、5月にリリースされたセキュリティ更新プログラムを未適用の組織に対して直ちに適用するよう推奨している。自動更新が有効になっている環境ではすでに対応済みの可能性が高いが、オンプレミスでSharePoint Serverを運用する組織は個別の確認が必要となる。加えて、Windows Antimalware Scan Interface（AMSI）統合の有効化やMicrosoft Defender Antivirusによる検出機能の活用、サーバーにおける悪用兆候の監視も併せて推奨されている。SharePointは組織内部の文書や権限設定、機密記録を保存する基幹システムであるため、未パッチのまま放置した場合はランサムウェアによる暗号化や情報窃取など重大な被害につながるリスクが高い。