Microsoft SharePoint の脆弱性 CVE-2026-55040／63520 の連鎖：サーバ制御奪取の恐れ

Two Microsoft SharePoint Flaws Can Be Chained to Hack Servers Without a Password

2026/08/26 CyberSecurityNews — Microsoft SharePoint Server に存在する 2 件の深刻な脆弱性を連鎖的に悪用するリモート攻撃者は、認証情報を必要とせずに、脆弱なサーバーを制御する可能性がある。この攻撃チェーンは、SharePoint の JSON Web Token (JWT) 認証ハンドラーに影響を及ぼす脆弱性 CVE-2026-55040 (CVSS 9.1) と、リモート・コード実行 (RCE) の脆弱性 CVE-2026-63520 (CVSS 8.1) を組み合わせるものである。

この脆弱性を悪用する未認証のリモート攻撃者は、対象ユーザーのセキュリティ識別子または “user@domain” などのユーザー・プリンシパル名を把握していれば、トークンを偽造して SharePoint ユーザーになりすませる。その背景にあるのは、SharePoint のトークン検証プロセスにおける複数の JWT セキュリティ・チェックが、無効化されたケースや、適切に機能していないケースである。

Rapid7 の研究者が確認したところ、RequireSignedTokens の設定が false になっており、SharePoint は署名されていない外側の JWT を受け入れる状態になっていた。その他にも、埋め込まれたアクター・トークンの署名に対して、特定の条件で適切な検証が行われない状態になっていたことも、影響を受けるコードで判明した。

この認証バイパスを突く攻撃者は、SharePoint の管理者として認証し、通常はログインを必要とするエンドポイントにアクセスできるため、この問題は単純な認証上の弱点ではなく、さらなる攻撃に悪用され得る侵入口となる。この脆弱性が 7月14日に開示された後、2026年8月11日に Rapid7 は CVE-2026-55040 を開示した。

2 件目のリモート・コード実行 (RCE) の脆弱性 CVE-2026-63520 は、外部データ・システムおよび .NET アプリケーションを SharePoint に接続するための Business Connectivity Services (BCS) コンポーネントに影響を及ぼす。

SharePoint の脆弱性を連鎖的に悪用してサーバを侵害

Microsoft のパッチが提供される以前の BCS では、Business Data Connectivity (BDC) モデルからロード可能な .NET 型が適切に制限されていなかった。そのため、すでに認証をバイパスした攻撃者は、安全でないクラスを指定する悪意のある BDC モデルを送信できる。VulnCheck の研究者が確認したのは、System.Web.UI.LosFormatter クラスをデシリアライズ・ガジェットとして悪用することで、SharePoint サーバ上で任意のコードを実行できることだ。

この攻撃チェーンでは、最初に攻撃者が CVE-2026-55040 を悪用して JWT を偽造し、特権 SharePoint アカウントになりすました上で、SharePoint サーバ環境でコードを実行する。そのために実行されるのは、フォーム・ダイジェスト値の取得／悪意の BDC モデルのアップロード／外部リストの作成／脆弱な BCS 処理パスのトリガーなどである。

2026年8月24日に VulnCheck は、動作するエクスプロイトおよび検出資料を含む脆弱性チェーンの詳細を顧客向けに公開した。開示情報で引用される Censys のデータでは、バージョン情報を公開しているオンプレミス・インスタンスが 21,000 台確認されているが、Microsoft 365 の SharePoint Online は影響を受けない。

すでに Microsoft は、SharePoint Server Subscription Edition／SharePoint Server 2019／SharePoint Enterprise Server 2016 向けのセキュリティ・アップデートをリリースしている。ユーザー組織は、最新の 2026 年 8 月のアップデートを速やかにインストールするとともに、インターネットに公開されている SharePoint サーバを優先してアップデートする必要がある。その上で、異常なベアラー・トークンによる認証／予期しない BDC モデルのアップロード／Business Data Catalog エンドポイントへの不審なリクエストを調査すべきである。

8月18日に CISA は、CVE-2026-55040 を KEV カタログに追加し、この認証バイパスの脆弱性が実際に悪用されていることを示している。管理者にとって必要なことは、パッチ未適用のオンプレミス SharePoint サーバが外部からアクセス可能な場合に、高リスクのシステムとして扱うことである。

Microsoft SharePoint Server において、Token 検証機能の不備や不要なクラスの制限不足が存在しています。脆弱性 CVE-2026-55040 ／ CVE-2026-63520 の連鎖的な悪用により、認証の回避／任意のコード実行／システム全体の制御奪取といった深刻な事態が引き起こされます。本件は CISA KEV カタログにも登録が確認されており、迅速な対応が必要となります。リスク軽減に向けて提供されている最新セキュリティアップデートの迅速な適用／異常な認証情報の監視／外部公開環境の優先対処が求められます。