CISA KEV 警告 26/07/14：SharePoint サーバの脆弱性 CVE-2026-56164 を KEV に登録

CISA Warns of Microsoft SharePoint Server Vulnerability Actively Exploited in Attacks

2026/07/15 CyberSecurityNews — Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft SharePoint Server に存在する重大な脆弱性 CVE-2026-56164 を、アクティブな悪用が確認されたことを理由に、Known Exploited Vulnerabilities (KEV) カタログに追加した。この欠陥は、Microsoft SharePoint Server のオンプレミス・デプロイメントに影響し、未認証の攻撃者に対して、リモートからの権限昇格を許すものである。

脆弱性 CVE-2026-56164 は、Microsoft SharePoint Server の重要機能に影響を及ぼす、認証欠如の欠陥 (CWE-306) として分類されている。それが示すのは、セキュリティ上の重要な機能へのアクセスを許可する前に、システムが認証を強制しないという欠陥のカテゴリである。

SharePoint Server の脆弱性が悪用される

この脆弱性を悪用する攻撃者は、その前提として、有効な SharePoint 認証情報を必要としない。CISA のアドバイザリによると、悪用に成功した未認証の攻撃者は、ネットワーク越しの権限昇格を可能にする。

権限を昇格させた攻撃者は、SharePoint 環境に対する制御を強めることができる。それにより可能になるのは、機密性の高い文書へのアクセス／コンテンツの変更／アカウントの作成などに加えて、接続されたシステム全体へのラテラル・ムーブメントである。

2026年7月14日に CISA は 、この欠陥を Known Exploited Vulnerabilities Catalog に追加した。これは、実環境の攻撃での悪用を示す証拠を、同機関が有していることを示している。

CISA は 2026年7月17日を修復期限に設定しており、Federal Civilian Executive Branch 機関に対して、この問題に対処するために与えられた猶予はわずか 3 日間となる。ただし、この脆弱性がカタログに追加されても、ランサムウェア運用で使用されていることを確認するものではない。

現時点で CISA は、ランサムウェア・キャンペーンでの悪用状況は不明だとしている。しかし、インターネットに公開された SharePoint サーバは高価値の標的であり、多くのケースにおいて、内部ファイル／ビジネス・ワークフロー／アイデンティティ統合／他のエンタープライズ・サービスへの接続を含むため、高いリスクが発生している。

Microsoft SharePoint Server を使用している組織にとって必要なことは、Microsoft のセキュリティガイダンスを直ちに確認し、すべての利用できる修正または緩和策を実装することである。セキュリティ・チームは、外部からのアクセスが可能で、最も直接的な攻撃対象領域となる、SharePoint インスタンスへの対処を優先すべきである。

CISA が関係者に対してアドバイスしているのは、Binding Operational Directive BOD 26-04 に準拠するかたちで、ベンダーの指示に従い、リスクに応じてセキュリティ更新を優先することである。

各機関および組織は、個々の SharePoint 資産がインターネットに公開されているかどうかを評価し、修復措置が適用されるパッチ適用期限を確認すべきである。

緩和策を利用できない場合には、CISA は影響を受ける製品の使用を中止することを推奨している。クラウドホスト型サービスについては、組織は関連する BOD 26-04 ガイダンスに従い、サービス・プロバイダとの責任分担を確認すべきである。

防御側として実施すべきは、特にインターネットに公開されている SharePoint サーバに対する、脅威ハンティングとフォレンジック・トリアージである。

認証記録／Web サーバログ／SharePoint 監査イベント／管理者アカウントの変更／不審なプロセス実行／予期しないスケジュール・タスク／異常なアウトバウンド・ネットワーク接続を、セキュリティ・チームは確認すべきである。

さらに、新たに作成された特権ユーザー／権限に対する不正な変更／Web シェル／SharePoint ドキュメント・ライブラリへの異常なアクセスも探すべきである。

この脆弱性の悪用が、権限昇格につながる可能性があるため、侵害された SharePoint サーバを起点として、より広範なネットワーク・リソースへの不正アクセスが生じると、インシデント対応担当者は想定すべきである。CISA が指定した 7月17日の期限が強調するのは、この脆弱性へ対処する緊急性である。

迅速にパッチを適用できない組織は、公開アクセスの制限／ネットワーク・セグメンテーションの強制／サーバ・アクティビティの綿密な監視などにより、露出を最小化すべきである。また、侵害の兆候が生じた場合に影響を受ける、SharePoint システムを隔離する準備を整えることも重要である。

組織の共同作業や情報共有を支える Microsoft SharePoint Server において、実環境での攻撃が確認され、CISA KEV への登録が行われました。重要なデータや業務プロセスが集約されるシステムであるため、常に外部からの標的になりやすいという背景があります。今回の脆弱性 CVE-2026-56164 は、認証の手続きを正しく行わなくてもリモートから権限を書き換えられてしまうものであり、悪用されると機密文書の窃取や内部ネットワークへの侵入を許す恐れがあります。安全な運用を維持するための対策として、開発元から提供されているセキュリティ情報を直ちに確認し、修正プログラムを最優先で適用する必要があります。