Microsoft SharePoint の脆弱性 CVE-2026-63520：Pwn2Own プロジェクトの過程で RCE を実証

Microsoft SharePoint RCE Vulnerability Lets Remote Attackers Execute Code

2026/08/12 gbhackers — Microsoft SharePoint Server の脆弱性 CVE-2026-63520 (CVSS 8.1) を悪用する攻撃者は、影響を受けるシステム上で任意のリモート・コード実行を可能にする。この脆弱性の影響が及ぶ範囲は、サポート対象の Microsoft SharePoint の各バージョンに加えて、Project Server／Office Web Apps Server の一部のデプロイメントとなる。エンタープライズ環境における SharePoint の広範な攻撃対象領域に焦点を当てた Rapid7 Labs のゼロデイ調査の過程で、新たな攻撃チェーンの問題が発見された。

Microsoft SharePoint の RCE 脆弱性

この脆弱性は、SharePoint の Business Connectivity Services (BCS) における不適切な入力検証に起因し、安全ではない .NET 型のインスタンス化を許すものである。特別に細工したデータを提供する攻撃者は、悪意の .NET ガジェット・チェーンを発動し、脆弱なサーバ上でコマンド実行を引き起こす可能性がある。

影響を受けた SharePoint Site インスタンスを稼働させる、Windows サービス・アカウントに割り当てられた権限で、このコードは実行される。したがって、この脆弱性が実際にもたらす影響は、そのアカウントのコンフィグと権限に加え、サーバから内部リソースへのアクセス状況に左右される。

SharePoint サービス・アカウントに広範な権限が付与されている環境や、機密性の高いドキュメント・リポジトリ／Active Directory リソース／接続されたインフラストラクチャへアクセスできる環境では、悪用に成功した攻撃者により大きな足掛りが取得される可能性がある。

2026年7月の Patch Tuesday で Microsoft は、CVE-2026-63520 を “Important (重要)” に分類している。この CVSS ベクターが示すのは、ネットワーク経由でアクセス可能／権限不要／ユーザー操作不要であり、機密性／完全性／可用性に大きな影響を及ぼす可能性があるという点である。

ただし、この脆弱性を単独で悪用する場合には、高い複雑性の攻撃が要求される。しかし、今回の脆弱性 CVE-2026-63520 と、SharePoint の JWT トークンに影響を及ぼす既知の認証回避の脆弱性 CVE-2026-55040 を組み合わせると、複雑性が緩和され、リスクが増大する。つまり、この認証回避の脆弱性により、初期アクセスの障壁が取り除かれる可能性がある。それを連鎖する新たなリモートコード実行 (RCE) 脆弱性により、任意のコマンド実行が可能になる。

これらの脆弱性を組み合わせることで、外部に公開され、パッチが適用されていない SharePoint サーバに対する、未認証のリモートコード実行 (RCE) チェーンが成立する。

Rapid7 の研究者 Stephen Fewer は、Pwn2Own Berlin 2026 向けに開発されたプロジェクトの過程で、これらの脆弱性の問題を特定した。この調査で用いられたのは、手作業によるソース・コードのレビュー／リバース・エンジニアリング／ガイド付き AI ワークフローの組み合わせである。

同チームによると、このプロジェクトでは、24日間にわたる 120時間の AI 実行時間／96回のセッション／約80,000回のツール呼び出し／256件のプロンプトが費やされた。その結果として、実際に機能するエクスプロイト・チェーンが生成された。

Pwn2Own エントリーの競技中に、この悪用は実証できなかったが、この調査が浮き彫りにしたのは、AI 支援型ワークフローにより、複雑なエンタープライズ・ソフトウェアに存在する脆弱性の発見を迅速化できるという点である。

Rapid7 が強調しているのは、調査結果の検証／調査の方向付け／モデルが生成した結果に含まれる不正確な点の特定において、対象分野の専門家による監督が引き続き不可欠だということだ。

Admin にとって必要なことは、CVE-2026-63520 に対する Microsoft のセキュリティ・アップデートの適用を優先し、SharePoint／Project Server／Office Web Apps Server のインスタンスがインターネットからアクセス可能かどうかを評価することである。

また組織に求められるのは、SharePoint サービス・アカウントの権限確認／通常とは異なる SharePoint プロセス・アクティビティの監視／予期しないコマンド実行の調査／パッチ展開までの外部公開システムの隔離である。

Rapid7 は、情報開示から30日以内に、詳細な技術情報を公開する予定である。それまでの間、防御側に求められるのは、この脆弱性チェーンをパッチ適用および露出管理における優先度の高い問題として扱うことである。特に、オンプレミスの SharePoint インフラストラクチャに依存する組織では重要となる。

Microsoft SharePoint Server に関する、最新のセキュリティ調査の結果を紹介する記事です。そこで発見された新たな脆弱性 CVE-2026-63520 (CVSS 8.1) を悪用する攻撃チェーンにより、リモート・コードが実行される可能性があります。内部データの処理構造における検証不足に起因し、認証回避の脆弱性と組み合わされることで、外部からの不正なコード実行やサーバー制御権の奪取といった深刻な問題につながる恐れがあります。本製品は社内の情報共有や文書管理の基盤として広く用いられているため、予期せぬアクセスや権限昇格が発生した際の影響範囲は非常に大きくなります。影響を最小限に抑えるための主な手立てとして、修正プログラムの早期適用／インターネット公開範囲の見直し／サービスアカウントの権限最小化／プロセス実行ログの監査／不審な接続遮断が挙げられます。システムの安全な運用を守るための、迅速な対処が推奨されます。