概要
Microsoft SharePointの2件の脆弱性を連結させ、未認証のままリモートコード実行(RCE)に至る攻撃チェーンが、公開されたPoC(概念実証)エクスプロイトを通じて実際に悪用され始めている。脅威インテリジェンス企業Defusedは、8月25日にハニーポット上でこの連鎖攻撃の偵察活動を観測したと報告した。攻撃者はJWT認証バイパスを起点に管理者権限を騙り、Business Connectivity Services(BCS)の脆弱性を突いてコード実行を狙う構成で、Shadowserverの調査によれば8,700台以上のインターネット公開SharePointサーバーが未パッチのままリスクにさらされている。
2つの脆弱性が連結する攻撃チェーン
起点となるのはCVE-2026-55040で、SharePointのJWTトークン検証処理に存在する認証バイパスの欠陥だ。この欠陥を突かれると、資格情報を持たない攻撃者でもサイトユーザーや管理者になりすまして操作できてしまう。このPoCは8月11日、Rapid7の研究者Stephen Fewer氏によって公開された。
もう一方のCVE-2026-63520は、BCSの型不安全性に起因するRCE脆弱性で、CVE-2026-55040による認証バイパスに成功した後に連鎖させることで、サーバー上での任意コード実行を可能にする。こちらのPoCは8月24日、VulnCheckのJonathan Peterson氏が公開した。2つの脆弱性を組み合わせることで、資格情報なしにシステム侵害まで到達する経路が成立する。
悪用状況とタイムライン
Defusedは、ハニーポットに対して「CVE-2026-55040 + CVE-2026-63520のRCEチェーン」が実際に試行されていると報告しており、8月25日にはJWTバイパスの実行と管理者アカウントの列挙が観測された。現時点で確認されたコード実行の成功例はないが、偵察から実際の侵害まで時間の問題とみられている。
一連の流れとしては、8月11日にCVE-2026-55040のPoCが公開されると、翌12日には実際の攻撃で武器化されたエクスプロイトの使用が確認された。事態を受けて米CISA(サイバーセキュリティ・インフラセキュリティ庁)は8月18日、連邦機関に対して修正措置を命じている。その1週間後の8月25日、Defusedが連鎖的な悪用の試行を特定した。
影響範囲と推奨される対策
Shadowserverの追跡データによれば、インターネットに公開されているSharePointサーバーは8,700台以上に上るが、このうちどれだけがハニーポットで、どれだけがすでに脆弱性対策済みなのかは不明としている。
CISAおよび両記事は、組織に対してMicrosoftのセキュリティパッチを優先的に適用すること、SharePointのハードニング(堅牢化)ガイダンスを見直すこと、インターネットに公開されたインスタンスを洗い出して追加の保護を検討することを推奨している。また、業務上の必要がない限りSharePointサーバーを直接インターネットに公開しないよう求めるとともに、認証試行やBusiness Connectivity Servicesの不審なアクティビティについてログを継続的に監視することも重要だとしている。