SharePoint Server RCE (CVE-2026-45659)、CISAが実悪用確認により7月1日にKEVへ追加――BOD 26-04下でFCEB機関に7月4日までの是正を要求

2026年7月1日、米国CISA(Cybersecurity and Infrastructure Security Agency)は、Microsoft SharePoint Serverのリモートコード実行脆弱性CVE-2026-45659を「Known Exploited Vulnerabilities(KEV)」カタログに追加したと発表しました。CISAは追加理由として、実環境における悪用の証拠(evidence of active exploitation)を挙げています。米国の連邦政府文民行政機関(FCEB)には、CISAの新しい拘束的運用指令BOD 26-04「Prioritizing Security Updates Based on Risk」の下で、2026年7月4日までにベンダー指示に沿った是正措置を実施することが求められています。

本件で目を引くのは、Microsoft側の悪用可能性評価との対比です。CVE-2026-45659は、対応パッチ自体が2026年5月12日のMay 2026 Security Updatesで提供されていたものの、当初はMay 2026 Security UpdatesのCVE一覧から誤って省略され、5月21日にMSRC上で情報が個別公開された脆弱性です。初回公開時のMSRCアドバイザリでは「Exploitability assessment: 悪用される可能性は低い(Less Likely)」、CVSS Temporal MetricsのExploit Code Maturityは「未実証(E:U)」と評価されていました。この評価は本記事執筆時点のMSRCページでも維持されていますが、CISAは同一のCVEを実悪用確認を根拠にKEVへ追加しています。同時期に流通してきたSharePoint関連の実悪用事例と併せて読むと、ベンダー評価と現実のリスクの間に生じうるギャップと、その扱い方が改めて問われる事案です。

CVE-2026-45659の技術構造

Deserialization of Untrusted Dataという脆弱性クラス

CVE-2026-45659は、Microsoft Office SharePointにおける信頼されないデータのデシリアライゼーションに起因するリモートコード実行脆弱性です。CWE-502に分類される、攻撃者制御下のシリアライズ済みオブジェクトが十分な検証なしにサーバー側で処理され、意図しないコード実行パスが起動されるという古典的な弱点クラスに該当します。CISA KEVカタログ上でも「Microsoft SharePoint Server contains a deserialization of untrusted data vulnerability which allows an authorized attacker to execute code over a network」と、認証済み攻撃者によるネットワーク経由のコード実行としてまとめられています。

Microsoftアドバイザリの記述では、脆弱性を引き起こす具体的なコンポーネント名やコードパスは明かされていません。SharePointは業務ドキュメントの中央保管庫、コラボレーション基盤、ワークフロー自動化ハブ、社内ナレッジベース、そして機密情報への玄関として機能する複合的なプラットフォームであり、内部で扱うシリアライズ形式の攻撃面は広い範囲に及びます。デシリアライゼーション欠陥はSharePoint製品群を通じて反復して見られる脆弱性クラスで、CVE-2026-45659もその系譜に位置する1件です。

攻撃条件はSite Member権限とネットワーク到達性

MSRCが公表しているCVSSベクターはCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:Cで、それぞれの要素はMicrosoftのFAQで補足されています。攻撃元区分がネットワーク(AV:N)であることは、ネットワーク到達可能な範囲から悪用されうる攻撃面であることを示します。攻撃条件の複雑さは低(AC:L)で、これはMicrosoftの説明によれば「攻撃者がシステムに関する重要な予備知識を必要とせず、脆弱なコンポーネントに対してペイロードを使用して繰り返しこの脆弱性を悪用する可能性がある」ためです。

必要な特権レベルは低(PR:L)で、最小限のSite Member権限を持つ認証済みアカウントが攻撃条件になります。MicrosoftのFAQでは「認証された攻撃者であれば、誰でもこの脆弱性を引き起こすことができる。管理者特権または他の昇格された特権は必要ない」と説明されています。ユーザー関与レベルはなし(UI:N)で、いったん認証境界を越えれば標的側の操作を追加で待つ必要はありません。認証を必要とする脆弱性は一見リスクが下がるように見えますが、フィッシング、認証情報窃取、パスワード再利用、セッションハイジャック、access broker市場経由の認証情報流通など、Site Member級の低特権アカウントが攻撃者の手に渡る現実的な経路は多く存在します。

CISA BOD 26-04と7月4日の是正期限

今回のKEV追加に伴い、FCEB(Federal Civilian Executive Branch、連邦政府文民行政機関)に適用される是正期限は2026年7月4日と、CISA KEVカタログの中でも極めて短い部類の設定になっています。CISAは今回のアラート本文で、KEV追加が新しい拘束的運用指令「Binding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk」の枠組み下で運用される旨を明記しています。

BOD 26-04はFCEB機関に対し、KEVカタログに掲載された脆弱性のうち、公開資産に対する完全な侵害を許すもの、いわゆるハイリスクな案件の是正を優先し、リスクの低い脆弱性への対応は後回しにできるよう指針を示す指令です。加えて、パッチ適用前の期間に脅威アクターがシステムを侵害していないかを確認するための基本的な期待事項も定めています。KEVエントリのAction欄には、ベンダー指示に沿った緩和措置の適用、BOD 26-04の遵守、CISAの「Forensics Triage Requirements」に沿ったフォレンジック調査、およびクラウドサービスに対するBOD 26-04ガイダンスの適用、または緩和策が利用できない場合の製品利用停止が求められる旨が記載されています。

BOD 26-04は連邦政府機関を対象とする指令ですが、CISAはあらゆる組織に対して同様のリスクベース脆弱性管理と、KEVカタログ脆弱性の優先的な是正を推奨しています。民間組織にとってもKEVカタログ追加は、実悪用が観測された脆弱性であることを示す強い警告として機能します。

SharePoint脆弱性の直近の系譜

CVE-2026-45659は、SharePoint製品群を舞台にした一連の高深刻度脆弱性の中に位置しています。デシリアライゼーション欠陥や認証周辺の欠陥は、過去数四半期にわたってSharePointを狙う攻撃者にとって主要な足がかりとして利用されてきました。直近の主要な出来事を時系列で並べると以下のようになります。

• 2025年7月：CVE-2025-49706とCVE-2025-49704の連鎖(通称「ToolShell」)――スプーフィング脆弱性とRCEの組み合わせで、オンプレミスSharePointへの非認証アクセスと認証済みアクセスを組み合わせて成立させる攻撃チェーンとしてCISAが警告を発しました。両CVEはCISA KEVカタログに追加されています。
• 2025年7月：CVE-2025-53770――CVE-2025-49704のパッチ迂回として観測され、CISA KEVに追加されました。
• 2026年3月：CVE-2026-20963――Microsoftが当初CVSSを8.8と評価していた脆弱性ですが、非認証での悪用が確認されたことを受けてCVSSを9.8に再評価したうえで、2026年3月18日にCISA KEVカタログに追加されました。
• 2026年4月：CVE-2026-32201――SharePointのスプーフィング脆弱性として公開され、実悪用が報じられました。
• 2026年5月：CVE-2026-45659(本件)――対応パッチは2026年5月12日のMay 2026 Security Updatesの一部として提供されたものの、CVEが5月のセキュリティ更新プログラムから誤って省略されていたため5月21日にMSRC上で個別公開された脆弱性です。Microsoftが「悪用される可能性は低い」と評価した状態のまま、2026年7月1日にCISA KEVカタログへ追加されました。

この時系列を見ると、SharePointは公開直後だけでなく、開示後数週間から数ヶ月経ってから悪用が観測されるパターンや、Microsoft自身の評価が後になって上方修正されるパターンが繰り返し表れています。KEVカタログはこうした遅延して顕在化する悪用の証拠を捕捉するための、一種のフィードバックループとして機能してきました。

Microsoftの並行脅威活動レポートとSharePoint狙いの脅威アクター

CVE-2026-45659の直接的な悪用者や悪用手法は、記事執筆時点でMicrosoftおよびCISAから公表されていません。The Hacker Newsの報道でもこの点は明示的に触れられており、悪用の詳細、背後にいるアクター、キャンペーンの最終目的については未公表とされています。

一方、SharePointを標的とする脅威活動そのものについては、Microsoftの脅威インテリジェンス側から関連レポートが公開されています。Microsoftが2026年6月に公表した「Parallel Threat Activity」に関するレポートでは、Storm-2603というアクターがWarlockランサムウェアの展開を目的として、2025年半ばからSharePointの複数の脆弱性を悪用してきたことが分析されています。同アクターは初期アクセスにGladinet TriofoxのCVE-2025-11371を利用し、その後Velociraptor、Cloudflare tunneling、Zoho Assist、SSH経由のVSCodeを組み合わせた活動を行ったとされています。加えて、NSecKrnl.sysとして知られる脆弱ドライバを用いてEDRを回避する挙動も観測されたと報告されています。

Microsoftはこの一連の活動の中で、2つの独立した脅威アクターが同一ネットワーク上で並行して活動する事象を確認したとしており、SharePointが単発の脆弱性利用にとどまらず、複数の攻撃キャンペーンによって継続的に狙われている実態が浮かび上がっています。ただし、これはSharePointを狙う脅威状況の補助情報であり、CVE-2026-45659の悪用主体がStorm-2603であることを示すものではありません。CVE-2026-45659がこの動きの中でどのように位置付けられるかは今後の情報公開を待つ必要がありますが、SharePointを取り巻く脅威状況が高い水準で継続していることは、CISAが今回のKEV追加を短い是正期限とセットで行った背景の1つとして読めます。

影響製品と修正ビルド

MSRCが提示している修正対象製品と、それぞれの適用KB・ビルド番号は以下の通りです。SharePoint Server 2016のユーザーとSharePoint Enterprise Server 2016のユーザーは、いずれも同じKB5002868を適用するようMicrosoftのFAQで案内されています。

本件は、対応パッチ自体はMay 2026 Security Updatesとして2026年5月12日にリリースされていたものの、CVE-2026-45659の情報がMay 2026 Security UpdatesのCVE一覧から当初「inadvertently omitted(誤って省略)」されていた脆弱性です。この事実は5月26日の更新履歴Version 1.1で追記されました。ただし更新履歴には「Customers who have already installed the May 2026 updates do not need to take any further action」との記載があり、5月12日のパッチを既に適用済みの環境では本件について追加の措置は不要とされています。逆に言えば、5月のパッチ適用が漏れている環境や、まだ2019 / Subscription Edition / Enterprise Server 2016系のいずれかで該当ビルド未満の状態にある環境は、CISA KEV追加を受けて実際にリスクが顕在化しうる状態にあります。

実務上の対応方針

実務担当者の観点から、CVE-2026-45659への対処は次のような優先順位で進めるのが妥当です。ネットワーク境界上に公開されているSharePoint、あるいは業務中枢に近いSharePointを運用している組織にとっては、CISAの是正期限に沿った短期間での対応が現実的な目安になります。

• 2026年5月のPatch Tuesday適用状況の確認：SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016(SharePoint Server 2016含む)の各環境について、該当KB(KB5002863、KB5002870、KB5002868)の適用状況とビルド番号を棚卸しする。既にビルド番号が修正版以上であれば、Microsoftアドバイザリ上は追加措置不要とされていますが、CISA KEVエントリを踏まえた社内報告用のエビデンスとして記録を残しておく価値があります。
• Site Member級アカウントの棚卸しと監視強化：本件はSite Member権限で悪用可能なため、SharePointに対して認証可能なアカウントの範囲、権限付与の実態、多要素認証の適用状況を確認する。特に外部委託先や退職者アカウント、機械アカウントの取り扱いは、脆弱性そのものの修正とは独立して見直しに値します。
• SharePointサーバの露出範囲の見直し：インターネット公開範囲、VPN・ゼロトラスト経由でのアクセス制限、SharePoint管理インターフェースの分離状況を再確認する。CVE-2026-45659はネットワーク経由の攻撃を前提としており、認証境界に至るまでの経路そのものを絞り込むことがリスク低減に寄与します。
• ポスト侵害の兆候ハンティング：BOD 26-04が「パッチ適用前に脅威アクターがシステムを侵害していないか」を確認する期待事項を含んでいる点を踏まえ、SharePoint配下のWebシェル、想定外のASPXファイル、SharePointワーカプロセスの異常挙動、低特権アカウントからの想定外のリクエストパターン、想定外のPowerShell/コマンドシェル活動、ドキュメントライブラリへの不審なアップロード、新規のスケジュールタスク・サービス・永続化痕跡といった、SharePoint RCEの一般的な事後活動を対象にした簡易ハンティングを実施します。
• SharePointに接続する周辺システムのリスク評価：SharePointが認証済みで参照している内部システム(ファイルサーバー、ワークフロー基盤、IDプロバイダ、業務アプリケーション)のうち、SharePoint経由で横展開されうる範囲を把握し、SharePoint侵害を前提とした横展開シナリオでの検知ルールを見直します。

まとめ

CVE-2026-45659は、Microsoft SharePoint Serverにおける信頼されないデータのデシリアライゼーションに起因するリモートコード実行脆弱性で、認証済みSite Member級アカウントとネットワーク到達性を組み合わせれば悪用しうるという条件を持ちます。Microsoftは初回公開時点でExploitability assessmentを「悪用される可能性は低い」、CVSS TemporalのExploit Code Maturityを「未実証(E:U)」と評価しており、記事執筆時点でもMSRCアドバイザリのこれらの値は初回公開時から維持されています。一方、CISAは2026年7月1日、実悪用の証拠を根拠として本件をKEVカタログに追加し、BOD 26-04の下でFCEB機関に7月4日までの是正を求めました。

ベンダー側の悪用可能性評価は、初回公開時の見立てを反映したものであり、公開後の脅威状況の変化を継続的に追跡する枠組みとは性質が異なります。今回のように、ベンダーが「悪用の可能性は低い」と評価した脆弱性がKEV追加を受ける事例は、MSRCの初回評価とCISA KEVを、別々のリスクシグナルとして参照する運用の重要性を改めて示しました。SharePointのように攻撃者にとっての価値が高いプラットフォームに対しては、CVSS基準スコアやベンダー評価と、KEV追加や実悪用報告といった動的な情報を組み合わせて、リスクの現在値を継続的に更新する姿勢が実務上の要点になります。

一次情報・公式情報

• MSRC: CVE-2026-45659 Microsoft SharePointのリモートコードが実行される脆弱性 (Microsoft Security Response Center)
• CISA Adds One Known Exploited Vulnerability to Catalog (CISA、2026年7月1日)
• Known Exploited Vulnerabilities Catalog (CISA KEV)
• CVE-2026-45659 (CVE.org)

参考情報

• SharePoint RCE CVE-2026-45659 Added to CISA KEV After Active Exploitation (The Hacker News)
• High-severity SharePoint RCE bug patched by Microsoft (Help Net Security)
• Microsoft Patches SharePoint RCE Flaw CVE-2026-45659 Across Server Versions (The Hacker News、5月開示時)

slug: sharepoint-cve-2026-45659-kev-active-exploitation