概要
Microsoft SharePoint Serverに存在する認証バイパスの脆弱性CVE-2026-55040の悪用が急拡大している。セキュリティ企業Rapid7の研究者Stephen Fewer氏が8月11日に技術解説とともに概念実証(PoC)コードを公開したことをきっかけに、脅威インテリジェンス企業Defusedはこの脆弱性を突く攻撃がハニーポット環境で実際に観測されていると報告した。これを受け米CISA(サイバーセキュリティ・インフラセキュリティ庁)は8月18日、CVE-2026-55040を含む4件の脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加し、組織に迅速な対応を求めている。
脆弱性の技術的詳細
CVE-2026-55040はJWTトークンによる認証処理の不備に起因する脆弱性で、認証されていない攻撃者がSharePointの一般ユーザーや管理者になりすますことを可能にする。Rapid7は「リモートの未認証攻撃者はCVE-2026-55040を悪用して脆弱なSharePointサーバー上の認証をバイパスし、サイトのユーザーまたは管理者として操作を実行できる」と説明しており、悪用が成功した場合はファイルの窃取やデータの改ざんにつながる可能性があるが、システムの可用性自体には影響しないとされる。この脆弱性はMicrosoftが2026年7月のPatch Tuesdayで既に修正済みだが、パッチ未適用の環境が引き続き狙われている状況だ。英国の医療機関向けIT機関NHS England Digitalは、CVE-2026-55040を別の脆弱性CVE-2026-63520と組み合わせることで「未認証のリモートコード実行につながりうる」と警告しており、単体の深刻度以上にチェーン攻撃としてのリスクが注視されている。
CISAによるKEVカタログ追加と他の3件
CISAが8月18日にKEVカタログへ新たに追加したのは、CVE-2026-55040(Microsoft SharePointの認証不備)、CVE-2026-33824(Microsoft IKEサービス拡張の二重解放)、CVE-2026-59310(Broadcom VMware vCenterのパストラバーサル)、CVE-2026-65400(Apple macOSの認証不備)の計4件で、いずれも実際の攻撃での悪用が確認されたことが追加の根拠となっている。CISAはこの種の脆弱性が悪意あるサイバー攻撃者にとって頻繁な侵入経路になっていると指摘し、連邦機関に限らずすべての組織に速やかなパッチ適用を推奨している。なお連邦機関に対する具体的な是正義務については、従来一律の期限を課していたBOD 22-01がすでに廃止され、2026年6月施行のBOD 26-04によりリスクスコアに応じて最短3日という短い期限も設定され得る新たな枠組みに移行している点も押さえておきたい。
今後の対応
CISAはSharePointサーバーについて、Layer 7のリバースプロキシ経由で認証を要求する構成にした上でインターネットへの直接公開を極力避けるよう推奨している。パッチ未適用のSharePoint Serverを運用する組織は、7月のセキュリティ更新プログラムの適用状況を早急に確認し、侵害の痕跡がないかログを点検することが求められる。PoCの公開から悪用拡大までの期間が短かったことは、パッチ適用の遅れが直接的なリスクにつながることを改めて示す事例といえる。