Microsoft SharePoint の認証バイパス（JWT トークン検証の不備・公開エクスプロイトあり・KEV 期限 2026-08-21）

Critical（CVSS 9.1）に分類されるMicrosoft SharePoint Server Subscription Edition（16.0.19725.20434 未満）/ SharePoint Server 2019 / SharePoint Server 2016 Enterpriseの脆弱性です。オンプレミスの Microsoft SharePoint に認証の不備があり、未認証の攻撃者がネットワーク越しにセキュリティ機能を回避できる。NVD の記述は「Weak authentication in Microsoft Office SharePoint allows an unauthorized attacker to bypass a security feature over a network」。CVSS は Microsoft（secure@microsoft.com）が CVSS 3.1 で 9.1 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）を付与しており、NVD の Primary スコアは本稿執筆時点で未付与（vulnStatus は Analyzed）。機密性・完全性が High、可用性が None という配分で、サービスを落とす類の欠陥ではなく、読まれる・書き換えられる類の欠陥であることを示している。CWE は CWE-1390。NVD の参考文献には Rapid7 の技術解説（表題は SharePoint の JWT トークン認証バイパス）と、GitHub 上の公開エクスプロイト（sfewer-r7）が Exploit タグ付きで載っている。つまり検証コードが公開済みで、攻撃の再現に高度な解析を要さない状態である。影響を受けるのは **オンプレミスの SharePoint Server** で、CPE 上は Subscription Edition のビルド 16.0.19725.20434 未満、SharePoint Server 2019、SharePoint Server 2016 Enterprise。SharePoint Online（Microsoft 365）は CPE に含まれていない。CISA KEV には 2026-08-18 に収載され、是正期限は 2026-08-21。ランサムウェア利用は Unknown（不明）だが、SharePoint はこれまでも侵入後の横展開の起点として使われてきた経緯があり、そのつもりで扱うのが妥当である。

まず切り分けるのは Online か オンプレミスかである。Microsoft 365 の SharePoint Online だけを使っている組織はこの CVE の対象ではない。対象になるのは自社サーバで動かしている SharePoint Server で、社内ポータル・ファイル共有・ワークフローの土台として長年動き続け、更新が止まりがちな種類の資産である。棚卸しでは「SharePoint」という名前ではなく、社内ポータルの URL とその背後のサーバから逆に辿るほうが確実である。バージョンの確認は、SharePoint 管理センターまたは PowerShell の Get-SPFarm でビルド番号を取り、Subscription Edition なら 16.0.19725.20434 以上であることを見る。2016 Enterprise と 2019 については MSRC のアドバイザリ（CVE-2026-55040 のページ）が案内する更新プログラムを適用する。この欠陥で押さえるべき点は、公開エクスプロイトが存在することと、可用性への影響が無いことの組み合わせである。落ちないということは、攻撃されても運用側の異常として現れないということでもある。監視で気づくのは難しく、更新が唯一の確実な対応になる。すぐに更新できない場合の緩和は、SharePoint をインターネットから直接到達できないようにすること（リバースプロキシや VPN の内側に置く）であるが、社内からの攻撃には効かない。認証バイパスである以上、SharePoint の側で認証を強めても回避される点に注意する。KEV 期限が 2026-08-21 と短いので、更新の計画は日単位で立てる。更新前にインターネットへ露出していた SharePoint は、侵害を前提に点検する。見るのは、SharePoint のコンテンツデータベースに対する想定外の読み取り、サイトコレクション管理者の追加、カスタムのソリューション（WSP）や ASPX の追加、そして SharePoint のサービスアカウントが Active Directory に対して行った操作である。SharePoint のサービスアカウントは往々にしてドメイン内で強い権限を持つため、SharePoint 単体の被害では済まないことが多い。完了条件は、（1）全オンプレミス SharePoint が修正ビルドであること、（2）露出していた期間の点検が済んでいること、（3）SharePoint のサービスアカウントとファーム管理者アカウントの資格情報を再発行済みであることの3点である。

Microsoft SharePoint Server Subscription Edition（16.0.19725.20434 未満）/ SharePoint Server 2019 / SharePoint Server 2016 Enterprise を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-55040）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。