Microsoft SharePoint 信頼できないデータのデシリアライズによるRCE（KEV登録・権限前提が一次情報間で食い違う）

Critical（CVSS 9.8）に分類されるMicrosoft SharePointの脆弱性です。Microsoft SharePoint に、信頼できないデータのデシリアライズ（CWE-502）に起因するリモートコード実行の脆弱性がある。2026年7月22日に CISA KEV（悪用が確認された脆弱性カタログ）へ追加され、連邦機関向けの是正期限は2026年7月25日と非常に短い。CVSS 3.1 は CNA である Microsoft 提供で 9.8 CRITICAL、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。影響を受けるのは SharePoint Server Subscription Edition（更新 KB5002882）、SharePoint Server 2019（KB5002883）、SharePoint Enterprise Server 2016（KB5002891）で、いずれも 2026年7月14日の月例で修正が出ている。Microsoft は SharePoint Server 2016 と SharePoint Enterprise Server 2016 に同じ KB が適用されると FAQ で明記している。この CVE は、一次情報どうしで記述が食い違っている点をそのまま知っておく必要がある。ひとつめは攻撃に必要な権限である。CISA KEV の説明は「権限のない攻撃者がネットワーク経由でコードを実行しうる」と書いており、Microsoft が付けた CVSS ベクタも PR:N（権限不要）である。ところが同じ Microsoft の更新ガイドの FAQ は「ネットワーク経由の攻撃で、少なくともサイト所有者として認証された攻撃者が、任意のコードを書き込んで SharePoint Server 上でリモート実行しうる」と書いており、サイト所有者相当の権限を前提としている。つまり Microsoft 自身のベクタと FAQ が一致していない。ふたつめは悪用の有無である。Microsoft の更新ガイドは 2026年8月26日時点でも exploited を No、公開開示を No としたままで、悪用可能性の評価は「Exploitation More Likely」に留まる。一方 CISA は同じ CVE を KEV へ収載しており、KEV は定義上「悪用が確認された」ものだけを載せる。時間軸で見ると Microsoft の更新ガイドの最終改訂は 2026年7月14日の初版のままで、7月22日の KEV 収載以降に更新されていない。したがってこの不一致は、Microsoft が悪用を否定しているというより、KEV 収載を反映した改訂がまだ入っていないと読むのが妥当である。運用上は安全側、すなわち「悪用が実在し、サイト所有者相当のアカウントが1つ乗っ取られれば成立しうる」を前提に扱うのが妥当である。

オンプレミスの SharePoint Server は最優先で 2026年7月14日の月例更新を適用する。適用すべき KB は版によって異なり、Subscription Edition が KB5002882、2019 が KB5002883、Enterprise Server 2016 が KB5002891 である。SharePoint Server 2016 を使っている場合も 2016 用の同じ KB でよい（Microsoft が FAQ で明記している）。KEV 登録済み＝実際に悪用が確認されている区分であり、是正期限が収載から3日と短いことからも、インターネットに公開されている SharePoint は公開範囲の制限（VPN／許可 IP）を先に行ってから更新を適用する運用が現実的である。ただしここで、上に書いた権限前提の食い違いを対応方針に反映しておく必要がある。Microsoft の FAQ が言うようにサイト所有者相当の認証が要るのだとすれば、公開範囲の制限だけでは足りない。正規の利用者アカウントが1つ乗っ取られれば成立するためで、サイト所有者権限を持つアカウントの棚卸しと、それらに対する多要素認証の適用が併せて要る。逆に KEV とベクタが言うように権限不要なら、公開範囲の制限が最も効く。どちらとも確定できない以上、両方を実施するのが安全側である。SharePoint Online（Microsoft 365）は Microsoft 側で対応されるため、利用者側の作業は不要である。オンプレミスとハイブリッド構成を併用している場合、対象はオンプレミス側のサーバであることに注意する。

Microsoft SharePoint を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-50522）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/07/25 です。早急な対応が推奨されます。