情報取得日: 2026/03/18／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-20963 |
|---|---|
| 製品 | Microsoft / Microsoft SharePoint Server |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-502 信頼できないデータの逆シリアル化 |
| 登録／公開日 | 2026/03/18 |
| KEV 期限 | 2026/03/21 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-20963 |
Microsoft Office SharePoint に信頼できないデータの逆シリアル化の欠陥があり、認証されていない攻撃者がネットワーク経由で任意のコードを実行できる。MSRC の FAQ は、未認証の攻撃者が任意のコードを注入して SharePoint サーバー上で実行できると説明している。認証が不要（PR:N）で利用者の操作も不要（UI:N）なため、外部から到達できる SharePoint が 1 台あればそれだけで成立する型である。CVSS は Microsoft（CNA、Secondary）の 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。Temporal は 8.5（E:U/RL:O/RC:C）で、Microsoft 側の記載は悪用未確認（exploited=No、Exploitation Less Likely）だが、CISA は 2026-03-18 に KEV へ収載しており、しかも是正期限を 2026-03-21 と収載から 3 日後に設定している。これは KEV の通常の 3 週間より大幅に短く、実際の悪用が進行していると当局が見ていることを示す。ランサムウェア利用は Unknown（不明）。CPE に挙がっているのはオンプレミス製品のみで、Subscription Edition が 16.0.19127.20442 未満、SharePoint Server 2016 Enterprise、2019 の 3 件である。SharePoint Online は列挙されていない。公開日は 2026-01-13 で、MSRC の最終改訂は 2026-03-17。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上に構築した SharePoint Server ファームへ、MSRC の当該 CVE のページで示される更新を適用してビルドを修正版以上にする（Subscription Edition は 16.0.19127.20442 以上）
AWS のマネージドサービスではなく利用者が構築した SharePoint の問題。ALB や CloudFront 経由で外部公開しているファームは認証不要で狙われるため最優先。ファーム内の全サーバーに適用する必要がある。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の SharePoint Server ファームへ該当する更新を適用してビルドを修正版以上にする
GCP 側の欠陥ではなく利用者が管理するアプリケーションの問題。Cloud Load Balancing 経由で公開しているファームから着手し、フロントエンドとアプリケーションサーバーの両方を更新する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の SharePoint Server ファームへ該当する更新を適用してビルドを修正版以上にする。SharePoint Online（Microsoft 365）は CPE に含まれず利用者側の作業は無い
IaaS 上に立てたオンプレ版が対象で、同じテナントで SharePoint Online を併用している場合もそちらの作業は発生しない。Application Gateway 経由で公開しているファームを先に処理する。
参照リンク
|
| Linux | 対象外 |
対応不要（SharePoint Server は Windows 上の製品）
CPE は SharePoint Server のみで、Linux 側に該当パッケージは無い。Linux 上のリバースプロキシで SharePoint を公開している場合は、更新までの間に到達範囲を絞る役目を担うだけである。
参照リンク
|
該当判定は、まず自組織にオンプレミスの SharePoint Server が残っているかの確認から始める。Microsoft 365 の SharePoint Online だけを使っているなら CPE に該当は無い。オンプレがある場合は、SharePoint 管理シェルで Get-SPFarm の BuildVersion、または各サーバーの管理センターでビルドを確認し、Subscription Edition なら 16.0.19127.20442 以上になっているかを見る。SharePoint Server 2016 Enterprise と 2019 は CPE にバージョン範囲が付いていないため、MSRC の当該 CVE のページで自分の製品に対応する更新を確認して適用する。見落としやすいのは、部門が独自に立てた検証用ファーム、退役予定のまま止め忘れた旧ファーム、資産台帳から漏れている公開サーバーである。認証不要で悪用できるため、インターネットから到達できるものを最優先で洗う。すぐ更新できない場合、MSRC は Workaround の節を出していないので公式な回避策は無い。取れるのは経路を閉じる方向で、外部公開している SharePoint を一時的に社内網や VPN 経由に限定する、プロキシ側で不要なエンドポイントへの到達を止める、といった対応で更新までの時間を作る。完了条件は、すべてのオンプレファームでビルドが修正版以上になっていること、フロントエンドだけでなくアプリケーションサーバーも含めてファーム全体に更新が入り、必要な構成ウィザードの実行まで終わっていることである。ここが SharePoint 特有の落とし穴で、1 台だけ古いままだと穴が残る。KEV の是正期限 2026-03-21 は既に大きく過ぎているため、未更新のファームが残っているなら期限超過として扱う。加えて KEV 収載は悪用が観測されたことを意味するので、更新だけで終わらせてはいけない。認証なしでコード実行が可能な問題なので、更新前の期間に Web シェルなど不審なファイルが配置されていないか、IIS のログに未認証での不自然な POST が無いかを確認し、必要ならサーバー上のアプリケーションの秘密情報やサービスアカウントの資格情報を再発行する。
Critical（CVSS 9.8）に分類されるMicrosoft Microsoft SharePoint Serverの脆弱性です。Microsoft Office SharePoint に信頼できないデータの逆シリアル化の欠陥があり、認証されていない攻撃者がネットワーク経由で任意のコードを実行できる。MSRC の FAQ は、未認証の攻撃者が任意のコードを注入して SharePoint サーバー上で実行できると説明している。認証が不要（PR:N）で利用者の操作も不要（UI:N）なため、外部から到達できる SharePoint が 1 台あればそれだけで成立する型である。CVSS は Microsoft（CNA、Secondary）の 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。Temporal は 8.5（E:U/RL:O/RC:C）で、Microsoft 側の記載は悪用未確認（exploited=No、Exploitation Less Likely）だが、CISA は 2026-03-18 に KEV へ収載しており、しかも是正期限を 2026-03-21 と収載から 3 日後に設定している。これは KEV の通常の 3 週間より大幅に短く、実際の悪用が進行していると当局が見ていることを示す。ランサムウェア利用は Unknown（不明）。CPE に挙がっているのはオンプレミス製品のみで、Subscription Edition が 16.0.19127.20442 未満、SharePoint Server 2016 Enterprise、2019 の 3 件である。SharePoint Online は列挙されていない。公開日は 2026-01-13 で、MSRC の最終改訂は 2026-03-17。NVD の vulnStatus は Analyzed。
該当判定は、まず自組織にオンプレミスの SharePoint Server が残っているかの確認から始める。Microsoft 365 の SharePoint Online だけを使っているなら CPE に該当は無い。オンプレがある場合は、SharePoint 管理シェルで Get-SPFarm の BuildVersion、または各サーバーの管理センターでビルドを確認し、Subscription Edition なら 16.0.19127.20442 以上になっているかを見る。SharePoint Server 2016 Enterprise と 2019 は CPE にバージョン範囲が付いていないため、MSRC の当該 CVE のページで自分の製品に対応する更新を確認して適用する。見落としやすいのは、部門が独自に立てた検証用ファーム、退役予定のまま止め忘れた旧ファーム、資産台帳から漏れている公開サーバーである。認証不要で悪用できるため、インターネットから到達できるものを最優先で洗う。すぐ更新できない場合、MSRC は Workaround の節を出していないので公式な回避策は無い。取れるのは経路を閉じる方向で、外部公開している SharePoint を一時的に社内網や VPN 経由に限定する、プロキシ側で不要なエンドポイントへの到達を止める、といった対応で更新までの時間を作る。完了条件は、すべてのオンプレファームでビルドが修正版以上になっていること、フロントエンドだけでなくアプリケーションサーバーも含めてファーム全体に更新が入り、必要な構成ウィザードの実行まで終わっていることである。ここが SharePoint 特有の落とし穴で、1 台だけ古いままだと穴が残る。KEV の是正期限 2026-03-21 は既に大きく過ぎているため、未更新のファームが残っているなら期限超過として扱う。加えて KEV 収載は悪用が観測されたことを意味するので、更新だけで終わらせてはいけない。認証なしでコード実行が可能な問題なので、更新前の期間に Web シェルなど不審なファイルが配置されていないか、IIS のログに未認証での不自然な POST が無いかを確認し、必要ならサーバー上のアプリケーションの秘密情報やサービスアカウントの資格情報を再発行する。
Microsoft Microsoft SharePoint Server を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-20963）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。