SharePoint 深刻な RCE 脆弱性 CVE-2026-50522：観測されたマシンキー窃取と PoC のリリース

Critical SharePoint RCE flaw exploited to steal machine keys

2026/07/21 BleepingComputer — Microsoft SharePoint に存在する深刻な脆弱性 CVE-2026-50522 をアクティブに悪用するハッカーたちが、マシンキーを盗み出している。それらを取得した攻撃者は、有効な認証トークンを作成し、ユーザーになりすますことができる。それにより、影響を受けるサーバにパッチが適用された後であっても、アクセスが維持されてしまう。偽造された ID の権限を用いる攻撃者は、SharePoint サイトや文書などのリソースにアクセスできるようになる。

Microsoft は、このセキュリティ問題を、信頼されていないデータに対するデシリアライゼーションの欠陥として説明している。この欠陥を突くリモート攻撃者は、認証を必要とすることなく、ネットワーク越しにコードを実行できる。

この欠陥は、Microsoft の Patch Tuesday July で対処されている。アクティブな悪用のマークはなかったが、アドバイザリでは悪用の可能性が高まっていると記されていた。

オンプレミスの脆弱な SharePoint デプロイメントを標的とするハッカーたちが、有効な Proof of Concept (PoC) エクスプロイトが公開された直後に、脆弱性 CVE-2026-50522 を悪用し始めたことを、攻撃的セキュリティ企業 watchTowr が観測している。

watchTowr は、「7月20日に、この脆弱性に対する Proof of Concept エクスプロイトコードを特定した。それから数時間以内に、当社のグローバル・ハニーポット・ネットワークである Attacker Eye が、この PoC を介した悪用試行を捕捉した。それらは標的システムの侵害に成功していた」と述べている。

この攻撃者は、侵害されたシステム上で長期的なアクセスを維持するために、マシンキーを盗み出していると、研究者は指摘している。

その一方で、7月17日の時点で早期警戒型の脅威インテリジェンス企業 Defused は、攻撃で悪用された文書化されていない SharePoint デシリアライゼーション・ベクターを検出していたが、そのアクティビティを特定の欠陥に結び付けることはできなかった。

7月20日の時点で同社は、SharePoint 脆弱性 CVE-2026-50522 の悪用により、その攻撃が引き起こされた可能性が高いと述べている。

エクスプロイトが公開される

CVE-2026-50522 に対する PowerShell エクスプロイトは、実証用として少なくとも 1 つが、セキュリティ研究者 Janggggg により GitHub 上で公開されている。

この PoC は、SharePoint の /_trust/default.aspx エンドポイントへ POST される WS-Federation サインイン・レスポンス内で、偽造された SecurityContextToken の Cookie として、悪意の .NET BinaryFormatter ペイロードを配信することで、リモート・コード実行を試行する。

このトークンが、脆弱なデシリアライゼーションパスで処理されると、悪意のペイロードが SharePoint サーバ上で任意のコード実行を引き起こす。

BleepingComputer は、この PoC エクスプロイトをテストしていないが、構造的にも技術的にも正当なものに見える。

今回の攻撃を watchTowr が検出を開始した日に、Janggggg が PoC を公開している点に留意すべきである。しかし、観測されたインシデントが、この公開エクスプロイトを使用していたかどうかは不明である。

最新の SharePoint セキュリティ更新を適用すれば、この脆弱性は除去される。その一方で、watchTowr がセキュリティ・チームに対して強く推奨するのは、すべての露出した可能性のある認証情報をローテーションすることである。

訳者後書：Microsoft SharePoint に存在する、信頼できないデータに対するデシリアライゼーションの脆弱性 CVE-2026-50522 が悪用されています。この問題を突く攻撃者は、ネットワーク越しに任意のコードを実行し、認証に必要なマシンキーを盗み出す可能性があります。一度マシンキーが奪われると、パッチを適用した後であっても、攻撃者が偽のトークンでアクセスを維持できてしまいます。対策として、提供されている最新のセキュリティ更新プログラムを速やかに適用する必要があります。さらに、影響を受けた可能性のある環境では、念のため認証情報の変更やローテーションを実施しておくことが大切です。