概要
Microsoft SharePoint Server(Enterprise Server 2016、Server 2019、Subscription Edition)に存在する認証バイパスの脆弱性CVE-2026-55040(CVSS 9.1)が、セキュリティ企業Rapid7による概念実証(PoC)コードの公開直後から、実際の攻撃で悪用され始めていることが明らかになった。この脆弱性は2026年7月のMicrosoft月例パッチで修正済みだったが、8月11日にRapid7の研究者Stephen Fewerが技術詳細とPythonベースのPoCを公開すると、翌12日にはセキュリティ企業Defusedがハニーポットへの攻撃を検出したと報告。7月19日以降、香港、日本、オランダ、台湾、米国の5地域にまたがる8つのIPアドレスから計12件の攻撃試行が確認されており、うち8件が8月12日から13日に集中している。未パッチの環境では早急な対応が求められる。
脆弱性の技術的詳細
CVE-2026-55040は、SharePointのJWT(JSON Web Token)トークン検証パイプラインに存在する複数の欠陥が連鎖することで成立する認証バイパスだ。Microsoftの説明によれば、ネットワークベースの攻撃により認証されていない攻撃者が認証をバイパスし、匿名接続を確立できるという。具体的には、(1)外部から送信するヘッダーで署名を要求しないalg: noneを指定し、(2)アクタートークンのx5tにSharePointのSTS(Security Token Service)証明書のサムプリントを設定、(3)その証明書がTrustedSecurityTokenServicesに登録されていない状態を利用することで、(4)アクタートークンの署名検証がスキップされてしまう。この欠陥は主にSPJsonWebSecurityTokenHandlerV2およびSPJsonWebSecurityBaseTokenHandlerV2クラスに起因するとされる。悪用に成功すると、攻撃者はSharePointサイトのユーザーあるいは管理者として振る舞うことが可能になり、ファイルの不正な閲覧やデータの改ざんにつながるおそれがある一方、可用性への直接的な影響はないとみられている。
攻撃発生の経緯と規模
Rapid7がPoCを公開した後、脅威はごく短時間で現実の攻撃へと転化した。攻撃者はRapid7が公開したスクリプトをそのまま流用しているとみられ、8月12日から13日にかけて確認された攻撃試行は、地理的に分散した複数の拠点から行われていることから、単一の攻撃者グループによる限定的な悪用にとどまらない可能性が示唆される。なお、初期の攻撃兆候自体は7月19日以降にも12件記録されており、PoC公開前から一部で試行が行われていた形跡もある。セキュリティ監視サービスShadowserverは、インターネットに公開された8,500台以上のSharePointサーバーを追跡しているとしており、パッチ未適用のサーバーが広範囲に露出している状況がうかがえる。
背景と対応策
SharePointをめぐっては2026年に入ってからCVE-2026-45659、56164、58644、50522など、これで5件目となる脆弱性の実悪用が報告されており、企業が運用するオンプレミス版SharePointが攻撃者にとって継続的な標的になっていることを示している。CISA(米サイバーセキュリティ・インフラセキュリティ庁)は、SharePointインスタンスを直接インターネットに公開しないこと、Layer 7のリバースプロキシを介してアクセスを制御すること、SharePoint Central Administrationへの外部からのアクセスを遮断することを推奨している。7月のパッチが公開済みであるにもかかわらず未適用の組織は、PoCが公開状態にあることを踏まえ、速やかな更新適用と侵害有無の確認を急ぐ必要がある。