SharePoint Server のコードインジェクションで認証済み利用者が遠隔コード実行（KEV・2026-09-25 に悪用確認へ改訂）

情報取得日: 2026/09/25・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-65660
製品	Microsoft / SharePoint Server Subscription Edition / 2019 / Enterprise Server 2016
CVSS	8.8（High） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-94 コードインジェクション
登録／公開日	2026/09/25
KEV 期限	2026/09/28 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-65660

概要

**オンプレミスの SharePoint Server に、認証済みの低権限利用者が細工したリクエストを送るとサーバ上でコードを実行できる脆弱性がある。** Microsoft（MSRC）の CVSS 3.1 基本値は **8.8**（PR:L＝低権限の認証が必要）。修正は **2026-08-11 の月例更新**で出ている。 **公開当初は「悪用なし」だったが、2026-09-25 に悪用確認へ改訂された。** MSRC の改訂履歴では、2026-09-25 の更新で実際の攻撃を確認したことが追記された。CISA も同日 KEV に収載し、是正期限を **2026-09-28** とした。 **単独では認証が要るが、別の不具合と組み合わせて未認証で狙われている。** Previdian の 2026-09-24 の観測記事によれば、攻撃は本件と、**匿名閲覧を許可したサイトで WebPart ページを未認証のまま処理させる別の不具合（2026-06-09 の更新で修正済み）**を組み合わせ、認証前に RCE を狙うものだった。観測されたのは `/_layouts/15/AddGallery.aspx` などへの POST で、.NET のデシリアライズ保護を外す段階と、アセンブリローダーを送り込む段階の2段構成だったとされる。 **対象はオンプレミス製品である。** MSRC の影響製品一覧に載っているのは SharePoint Server Subscription Edition / 2019 / Enterprise Server 2016 の3製品で、SharePoint Online（Microsoft 365）は含まれていない。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure は同じ対応区分です: パッチあり（アプリ更新）
Linux のみ異なります: 対象外

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 上に自前で構築した SharePoint Server は、KB5002893 / KB5002894・KB5002896 / KB5002905・KB5002906（2026-08-11）を適用する。AWS 側の対処では直らない。セキュリティグループで SharePoint の公開範囲を確認し、匿名閲覧サイトを外部に出している場合は特に優先する。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine 上の SharePoint Server は、2026-08-11 の該当 KB を適用する。 VPC ファイアウォールと HTTPS ロードバランサの公開範囲を確認する。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM 上の SharePoint Server は、2026-08-11 の該当 KB を適用する。SharePoint Online（Microsoft 365）は MSRC の影響製品一覧に含まれていない。 Azure Update Manager で KB の適用状況を確認できる。NSG / Application Gateway の公開範囲も見直す。参照リンク
Linux	対象外	該当しない。SharePoint Server は Windows Server 上の製品で、Linux ディストリビューションの更新対象ではない。 Linux のリバースプロキシや WAF を前段に置いている場合は、そのログで上記パスへの不審な POST を洗い出せる。参照リンク

解決の方向性（パッチ／回避策／代替）

**2026-08-11 の SharePoint 更新を適用する。** MSRC の影響製品と修正ビルドは次のとおり。 - **Subscription Edition**: KB5002893（ビルド **16.0.19725.20522**） - **SharePoint Server 2019**: KB5002894 / KB5002896（ビルド **16.0.10417.20198**） - **Enterprise Server 2016**: KB5002905 / KB5002906（ビルド **16.0.5565.1001**） MSRC は該当する更新をすべて適用するよう求めており、複数の更新は順不同で適用できる。更新後は SharePoint 製品構成ウィザード（または `PSConfig`）を実行して反映させる。 **2026-06 の SharePoint 更新も入っているか確認する。** 観測された攻撃は6月に修正された匿名経路と組み合わせているので、8月分だけでなく累積で最新にしておく。**匿名閲覧を許可しているサイトは見直す**（Previdian は攻撃の前提条件として挙げている）。 **侵害の確認**: Previdian は、IIS ログでの `/_layouts/15/AddGallery.aspx`・`/_layouts/15/designgallery.aspx` への不審な POST、見覚えのない `/_layouts/15/sphealth.aspx`（Web シェルとして報告）の有無、送信元 169.150.248[.]21 を指標として挙げている（網羅ではない）。

よくある質問（CVE-2026-65660）

CVE-2026-65660（SharePoint Server Subscription Edition / 2019 / Enterprise Server 2016）の影響は？

High（CVSS 8.8）に分類されるMicrosoft SharePoint Server Subscription Edition / 2019 / Enterprise Server 2016の脆弱性です。**オンプレミスの SharePoint Server に、認証済みの低権限利用者が細工したリクエストを送るとサーバ上でコードを実行できる脆弱性がある。** Microsoft（MSRC）の CVSS 3.1 基本値は **8.8**（PR:L＝低権限の認証が必要）。修正は **2026-08-11 の月例更新**で出ている。 **公開当初は「悪用なし」だったが、2026-09-25 に悪用確認へ改訂された。** MSRC の改訂履歴では、2026-09-25 の更新で実際の攻撃を確認したことが追記された。CISA も同日 KEV に収載し、是正期限を **2026-09-28** とした。 **単独では認証が要るが、別の不具合と組み合わせて未認証で狙われている。** Previdian の 2026-09-24 の観測記事によれば、攻撃は本件と、**匿名閲覧を許可したサイトで WebPart ページを未認証のまま処理させる別の不具合（2026-06-09 の更新で修正済み）**を組み合わせ、認証前に RCE を狙うものだった。観測されたのは `/_layouts/15/AddGallery.aspx` などへの POST で、.NET のデシリアライズ保護を外す段階と、アセンブリローダーを送り込む段階の2段構成だったとされる。 **対象はオンプレミス製品である。** MSRC の影響製品一覧に載っているのは SharePoint Server Subscription Edition / 2019 / Enterprise Server 2016 の3製品で、SharePoint Online（Microsoft 365）は含まれていない。

CVE-2026-65660 の対応方法・回避策は？

自分の環境が CVE-2026-65660 の影響を受けるか確認するには？

Microsoft SharePoint Server Subscription Edition / 2019 / Enterprise Server 2016 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-65660）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-65660 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/28 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。