Microsoft SharePoint の脆弱性 CVE-2026-55040：PoC のリリースと攻撃の観測

Hackers Actively Exploiting Microsoft SharePoint Vulnerability Following PoC Release

2026/08/13 CyberSecurityNews —

Microsoft SharePoint の新たな認証回避の脆弱性について Rapid7 が技術的な分析と PoC 攻撃コードを公開してから数時間後、インターネットに公開されたサーバに対する攻撃が開始された。この重大な脆弱性 CVE-2026-55040 (CVSS 9.1) を悪用する未認証のリモート攻撃者は、パスワードやセッション・クッキーを必要とせずに、有効な認証トークンを偽造することで、管理者などの SharePoint ユーザーになりすます可能性がある。

脅威インテリジェンス企業 Defused が確認したのは、同社の SharePoint ハニーポットを標的とする不審な活動を観測し、その後に悪用の動きを確認したことであり、同社は「攻撃者が外部公開システムに対して、CVE-2026-55040 向けの @rapid7 PoC を使用している」と警告した。

Rapid7 のセキュリティ研究者 Stephen Fewer は、詳細な解説と Python ベースの攻撃コードを公開し、この脆弱性の具体的な悪用方法を明らかにした。それから 1 日も経たないうちに、防御側は同じコードが実攻撃に転用されていることを確認した。

脆弱性 CVE-2026-55040 は、SharePoint の JWT (JSON Web Token) 検証パイプライン内に存在し、具体的には、Bearer トークンによるサービス間通信の解析を処理する SPJsonWebSecurityTokenHandlerV2／SPJsonWebSecurityBaseTokenHandlerV2 という 2 つの内部クラスに存在する。Rapid7 は、4 つの弱点が組み合わさることで、認証機能全体が破綻することを確認した。

攻撃の仕組み

1 つ目の手順として、攻撃者は外側のヘッダーを “alg: none” に設定したトークンを送信し、これは署名が一切不要であることを意味する。2 つ目の手順として、トークンの x5t ヘッダーを SharePoint 自身の Security Token Service の証明書のフィンガープリントへ向けることが可能であり、この値は未認証のメタデータ・エンドポイントで公開されているため、サーバは実際の検証を行わずに署名鍵を解決してしまう。

3 つ目として、SharePoint の TrustedSecurityTokenServices レジストリにその証明書が登録されていなくても発行者が受け入れられる。4 つ目として、対象となる署名フィールドにプレースホルダー文字列などの空ではない値が含まれていれば攻撃連鎖が完了する。これは、その値が暗号学的に有効かどうかが実際のコードで確認されていないためである。

これらの弱点を連鎖させることで、この脆弱性を悪用する攻撃者は、ドメイン管理者を含む任意のアカウント名を指定した自己発行トークンを送信し、SharePoint に正規のトークンとして受け入れさせる可能性がある。Rapid7 の PoC は、この攻撃をさらに自動化する機能を備えており、具体的には、偽造トークンを使用して標的のドメインコントローラーへクエリを送信し、SID を基にユーザー・アカウントを列挙したうえで、完全に偽装されたサイト管理者アカウントを自動的に特定する。

Microsoft は、2026年7月の Patch Tuesday において、CVE-2026-55040 を公表する前に修正していた。同社はアドバイザリで、この脆弱性により、なりすましが生じ、認証機能が回避される可能性があると説明するとともに、認証に関する脆弱性であると評価していた。また、この脆弱性の悪用に成功した攻撃者は、ファイル漏洩やデータ変更が可能になる一方、システムの可用性には影響しないと同社は指摘していた。

この脆弱性が影響を及ぼすのはオンプレミスの導入環境のみであり、対象となるのは SharePoint Server Subscription Edition／SharePoint Server 2019／SharePoint Enterprise Server 2016 であり、クラウドでホストされる SharePoint Online は影響を受けない。パッチ公開から約 1 ヶ月が経過しているにもかかわらず、インターネットに公開された数千台の SharePoint サーバが、依然としてパッチ未適用の状態で露出していると、セキュリティ研究者たちは警告している。

前述の脆弱性 CVE-2026-55040 は、危険な攻撃連鎖の起点にもなる。Microsoft の 8月の Patch Tuesday と同時に公表された別のリモートコード実行 (RCE) 脆弱性 CVE-2026-63520 と組み合わせることで、この脆弱性を悪用する未認証攻撃者は、脆弱なサーバ上での完全なコード実行へと被害を拡大させる可能性がある。

オンプレミスの SharePoint を運用する組織に求められるのは、2026年7月および 8月のセキュリティ更新プログラムの即時適用／SharePoint サーバのインターネットへの露出制限／通常とは異なるサービス間トークンの活動に関する認証ログの監視である。

すでに PoC が武器化されたことや、その速度を考慮する必要があり、インターネットから到達可能な SharePoint 環境におけるパッチ未適用の運用環境は、現在進行中の緊急リスクとして扱うべきである。

Microsoft SharePoint における認証処理の構造的な不備が判明し、検証用コードの公表に伴い、すでに実環境での侵害活動が開始されています。認証用トークン検証時の確認漏れが根本的な要因であり、未認証の外部主体による管理者権限の不正奪取 / ドメイン情報の探索 / 保持データの閲覧や改竄といった深刻な事態につながります。特に CVE-2026-55040 (CVSS 9.1) は別の遠隔コード実行の脆弱性と連鎖させることで完全なシステム乗っ取りを許す点が懸念されます。オンプレミス環境の運用担当者には、提供済み更新プログラムの至急適用 / 不要な外部露出の遮断 / 認証ログの精査による不審挙動の早期検出が強く推奨されます。