CISA

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は火曜日、攻撃者が3つの脆弱性を積極的に悪用し、インターネットに公開されているオンプレミスのSharePoint Serverインスタンスをハッキングしていると警告した。

これらのセキュリティ上の欠陥（CVE-2026-32201、 CVE-2026-45659、およびCVE-2026-56164として追跡されている）は、SharePoint Server Subscription Edition（「継続的更新」モデルを採用する最新のオンプレミス版）を含む、サポート対象のすべてのセルフホスト型SharePoint Serverバージョンに影響を及ぼす。

火曜日に発表されたアドバイザリで詳述されているように、攻撃者はこれらの脆弱性を悪用して認証を迂回し、リモートコード実行権限を取得し、インターネットインフォメーションサービス（IIS）のマシンキーの窃取や、侵害されたシステムへのマルウェア展開のための永続化の確立など、侵害後の活動を実行しています。

image

また、米国のサイバーセキュリティ機関は、SharePoint Serverの脆弱性2件（CVE-2026-55040およびCVE-2026-58644）を指摘した。これらはマイクロソフトが火曜日に修正パッチを適用したもので、現時点では実環境での悪用事例は確認されていないものの、攻撃者にとって魅力的な標的であるとされている。

インターネットセキュリティ監視団体Shadowserverは現在、インターネットに公開されているMicrosoft SharePointサーバーを1万台近く追跡しており、そのうち800台以上がCVE-2026-32201およびCVE-2026-45659の脆弱性に対するパッチを適用していない。

ただし、そのうちCVE-2026-56164による攻撃に対して脆弱なサーバーや、ハニーポットであるサーバーがそれぞれ何台あるかについての詳細は明らかになっていない。

SharePoint Server instances exposed online
オンラインに公開されているSharePoint Serverインスタンス（Shadowserver）

CISAは、セキュリティチームに対し、影響を受けるサーバーを注意深く監視して悪用された兆候がないか確認するよう促し、マイクロソフトの最新のパッチを適用し、インストールが正常に行われたことを確認するとともに、パッチ適用サイクルを短縮すること、およびWindows Antimalware Scan Interface（AMSI）をSharePoint Webアプリケーションに統合し、Microsoft Defender Antivirus（MDAV）の検出機能を活用して侵害の検知と是正を行うことを推奨した。

その他のセキュリティ強化策としては、IISのマシンキーをローテーションする前に侵入の痕跡を検出して是正すること、異常な活動を監視するためのカスタマイズされたログ記録を設定すること、必要がない限りSharePointサーバーをインターネットに直接公開しないこと、およびMicrosoftの公式なSharePoint Serverセキュリティ強化ガイダンスを確認することが挙げられます。

また、SharePoint 中央管理への外部アクセスをブロックし、ファームおよびデータベースとの通信を必要なシステムに限定することも推奨されます。外部への公開が避けられない場合、CISA はサーバーをレイヤー 7 リバースプロキシまたは同様のアプリケーション層セキュリティ制御の背後に配置することも推奨しています。

​CISAは、4月14日（CVE-2026-32201）、7月1日（CVE-2026-45659）、および7月14日（CVE-2026-56164）に、現在積極的に悪用されている3つの脆弱性を「既知の悪用済み脆弱性カタログ」に追加しました。

連邦機関は、拘束力のある運用指令（BOD）26-04に基づき、7月17日までにCVE-2026-56164の影響を受けるSharePointサーバーのセキュリティ対策を講じるか、対策が適用できない場合は運用を中止する必要があります。

2021年11月以降、CISAは攻撃で悪用されたMicrosoft SharePointの脆弱性を計11件特定しており、そのうち7件はランサムウェア攻撃でも悪用されています。