Microsoft SharePoint ServerのRCE脆弱性CVE-2026-58644(CVSS 9.8)で実悪用を確認、CISA KEV追加、FCEB期限は7月19日

米CISAが2026年7月16日、Microsoft SharePoint Serverの重大なRCE脆弱性CVE-2026-58644をKnown Exploited Vulnerabilities(KEV)カタログへ追加しました。CVSSは9.8(Critical)、CWEは信頼できないデータのデシリアライゼーション(CWE-502)で、影響対象はSharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016のオンプレミス版3系列です。このうち2016と2019は2026年7月14日に延長サポートを終了しており、現在サポート中なのはSubscription Editionのみです。今回のPatch Tuesdayは、2016/2019に対する最終セキュリティ更新のタイミングと重なっています。CVE自体は7月14日のMicrosoft Patch Tuesdayで初版アドバイザリが公開されていましたが、翌15日にMicrosoftが「実悪用が確認された(exploitation detected in the wild)」と記述を改訂しています。CISAはBOD 26-04(Prioritizing Security Updates Based on Risk)に基づき、米連邦民間行政機関(FCEB)に対して2026年7月19日までにベンダーの指示に従った対応を行い、対応できない場合は製品の使用を中止するよう求めています。

CISAは同時に、SharePoint Server関連の4件のCVE(CVE-2026-32201 / CVE-2026-45659 / CVE-2026-56164 / CVE-2026-58644)が実悪用されていると警告し、SharePoint環境のハードニング措置を公表しています。CISAは、これらのSharePoint脆弱性に関連する攻撃活動で、IIS(Internet Information Services)マシンキーの窃取、デシリアライゼーション、永続化、マルウェア展開などが観測されたと説明していますが、4件すべてが同一の攻撃チェーンで利用されたとは公表していません。SharePointをオンプレで運用している組織では、期限にかかわらず優先度の高い対応が必要な事案です。

項目	内容
CVE識別子	CVE-2026-58644
深刻度	Critical(CVSS 9.8)
CVSSベクトル	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-502(Deserialization of Untrusted Data)
影響	ネットワーク経由で任意コード実行を行える可能性
影響対象	Microsoft SharePoint Server Subscription Edition / Microsoft SharePoint Server 2019 / Microsoft SharePoint Enterprise Server 2016(オンプレミス版のみ、2016と2019は2026年7月14日で延長サポート終了)
修正版	2026年7月14日のPatch Tuesdayで提供された各バージョン向けセキュリティ更新(2016/2019にとってはサポート終了日に提供された最終セキュリティ更新)
実悪用状況	Microsoftがアドバイザリで「exploitation detected in the wild」と明記(2026年7月15日改訂)
アドバイザリ改訂	2026年7月14日初版 → 2026年7月15日改訂で実悪用の記述追加
CISA KEV追加	2026年7月16日(FCEB期限:2026年7月19日、BOD 26-04)
同時に警告された関連CVE	CVE-2026-32201 / CVE-2026-45659 / CVE-2026-56164 / CVE-2026-58644(いずれもCISA公式アラートで実悪用中と明示)
関連するCVE	CVE-2026-50522(同じ7月14日Patch Tuesdayで修正されたSharePoint RCE、CVSS 9.8、Deserialization)

Microsoft SharePoint Server(オンプレミス版)という製品
CVE-2026-58644の技術的な位置付け
約3か月でSharePoint関連4件がKEV入り
Microsoftのアドバイザリ改訂とCISAの対応
CISAが挙げているハードニング措置
修復手順と実務的な対応
運用担当者にとってのポイント
一次情報・公式情報
参考情報

Microsoft SharePoint Server(オンプレミス版)という製品

Microsoft SharePointは、社内ポータル、ドキュメント管理、業務ワークフロー、共同編集などをまとめて提供するコラボレーション基盤で、Microsoft 365内のクラウド版(SharePoint Online)と、企業側のインフラで運用するオンプレミス版に分かれています。今回のCVE-2026-58644はオンプレミス版のみを対象としており、SharePoint Onlineは影響対象外です。今回のアドバイザリはSubscription Edition、2019、Enterprise Server 2016を影響対象としています。ただし、2016と2019は更新公開日の2026年7月14日に延長サポートを終了しました。これらを継続利用している組織は、今回の更新を適用するとともに、Subscription Editionへの移行を進める必要があります。

オンプレミス版のSharePointは、金融、製造、公共機関などで社内ドキュメントや業務プロセスの中核として長く使われてきた製品です。インターネットへ公開されたオンプレミスSharePointサーバも存在するため、組織は自環境の外部露出状況を確認する必要があります。運用形態としてはActive Directory、SQL Server、IISと密結合しており、SharePointサーバが侵害された場合、Active Directory、SQL Server、IISとの連携構成や実行権限に応じて、影響が周辺システムへ及ぶ可能性があります。IIS/ASP.NETのマシンキーは、ViewStateなどの保護データの検証や暗号化に利用される秘密鍵で、攻撃者に窃取されると、細工したデータの生成や、パッチ適用後もアクセスを維持する目的で悪用される可能性があります。CISAは今回、SharePoint関連の実悪用活動の一部として、このIISマシンキーの窃取を明示的に取り上げています。

CVE-2026-58644の技術的な位置付け

CVE-2026-58644は信頼できないデータのデシリアライゼーションに起因するリモートコード実行脆弱性で、CWEはCWE-502に該当します。MicrosoftがCNAとして登録したCVSSベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hで、NVDにも同じ内容が掲載されています。評価はネットワーク経由、低攻撃複雑度、権限不要、ユーザー操作不要、機密性・完全性・可用性すべてに高い影響が付与されています。

認証要件については、Microsoftが公開した情報の中に不整合があります。Microsoft CorporationがCNAとして登録したCVE説明とCVSSベクトルは、権限不要を示すPR:Nと「unauthorized attacker」を採用しています。一方、MSRCのFAQでは、少なくともSite Ownerとして認証された攻撃者が任意コードを実行できると説明されています。記事執筆時点では、この差異を解消する公式な補足は確認できません。ZDIは両RCEを未認証として評価していますが、MicrosoftのFAQとは一致していません。

認証要件に関するMicrosoftの記載が一致していないため、本記事では未認証または認証済みのいずれかに断定しません。ただし、実悪用が確認され、CVSS 9.8かつKEVに登録されていることから、認証要件の解明を待たずに更新する必要があります。特にインターネットへ公開された環境を最優先とします。Microsoftはアドバイザリで、攻撃複雑度が低い理由として次の2点を挙げています。

事前知識が不要:攻撃者はターゲットシステムの内部構造について有意な事前情報を必要としない。
再現性のあるペイロード:攻撃者は同じペイロードで脆弱なコンポーネントに対して繰り返し成功を収められる。

CVE-2026-58644には、同時に修正された同種のCVE-2026-50522(同じ7月14日Patch Tuesdayで修正されたSharePoint RCE、CVSS 9.8、同じくCWE-502)があります。ZDIは、いずれも信頼できないデータのデシリアライゼーションに起因するCVE-2026-50522とCVE-2026-58644を「matching pair」と表現しています。CVE-2026-50522は記事執筆時点(2026年7月17日)ではCISA KEVに追加されていませんが、同種のデシリアライゼーション経路であることから、CVE-2026-58644と併せてパッチ適用状況を確認しておくことが実務的です。

約3か月でSharePoint関連4件がKEV入り

CVE-2026-58644は、2026年4月14日以降にKEVへ追加された4件目のSharePoint関連脆弱性です。4件はいずれも実悪用が確認されていますが、すべてが修正前から悪用されていたゼロデイであると公式に確認されているわけではありません。CISAは2026年7月14日および16日更新のアラートで、これら4件が実悪用中である事実を並記しました。時系列で整理すると次のようになります。

CVE-2026-32201:入力検証不備によるスプーフィング脆弱性(CVSS 6.5、CWE-20)。未認証のネットワーク攻撃者によるスプーフィングが可能とされています。2026年4月14日にKEVへ追加されました。
CVE-2026-45659:信頼できないデータのデシリアライゼーションRCE(CVSS 8.8、Site Member権限を持つ認証済み攻撃者による攻撃が可能)で、2026年5月の帯域外セキュリティ更新で修正済み。当初Microsoftは「Exploitation Less Likely」と評価していましたが、その後、実悪用の証拠に基づいて2026年7月1日にKEVへ追加されました。
CVE-2026-56164:SharePoint関連の権限昇格脆弱性で、2026年7月14日にKEV追加。前回筆者(TKC Tech Lab)の2026年7月15日付SonicWall SMA1000記事でも、同日にKEVへ追加された4件のうちの1件として触れている。
CVE-2026-58644:今回のRCE脆弱性で、CVSS 9.8。2026年7月16日にKEV追加。

CISAはアラートの中で、これら4件の悪用活動として「IISマシンキーの窃取とデシリアライゼーション技術による永続化とマルウェアデプロイ」を挙げています。個別の脆弱性としてはそれぞれ異なる経路ですが、SharePoint基盤に侵入した後の侵害後の活動(post-exploitation)としては共通の技術が観測されているとみられます。ただし、CISAは4件すべてが同一の攻撃チェーンで利用されたとは公表していません。IISマシンキーはASP.NETのViewStateの整合性検証などに使われる秘密鍵で、これが窃取されると、共有構成の場合には同一マシンキーを共有する別サーバへの影響につながる可能性があり、細工したデータの生成やパッチ適用後のアクセス維持にも悪用され得ます。CISAはハードニング措置の中で「マシンキー窃取ツールと侵害痕跡の検出・除去を先行させたうえでのマシンキーローテーション」を明示的に推奨しています。

Microsoftのアドバイザリ改訂とCISAの対応

今回のCVE-2026-58644は、公表からKEV追加までの期間が非常に短いのが特徴です。時系列を追うと次のようになります。

2026年7月14日:Microsoftが月次のPatch Tuesdayでセキュリティ更新をリリース。過去最大規模となる600件超の脆弱性を修正した月次リリースで、CVE-2026-58644の初版アドバイザリもこの日に公開された。同日、CISAは既知の実悪用中の3件(CVE-2026-32201 / CVE-2026-45659 / CVE-2026-56164)を挙げてSharePointハードニングを求めるアラートを発出。
2026年7月15日:MicrosoftがCVE-2026-58644のアドバイザリを改訂し、「実悪用が確認された(exploitation detected in the wild)」の記述を追加。これによりMicrosoftが実悪用を確認したことが明らかになりました。
2026年7月16日:CISAがCVE-2026-58644をKEV Catalogに追加。同日発表のアラート更新で、4件目のSharePoint関連CVEとして本CVEも実悪用中の対象に含めた。
2026年7月19日:FCEB期限。BOD 26-04に基づき、米連邦民間行政機関はこの期限までにパッチ適用または該当製品の使用中止を求められている。

CVSSベクトルがPR:Nで、Patch Tuesday翌日の7月15日にMicrosoftが実悪用の記述を追加し、その翌16日にCISA KEVへ登録したという流れは、脆弱性の性質と観測状況の両面から緊急対応を求めるものです。CISAは同日、Fortinet FortiSandboxの2件(CVE-2026-25089とCVE-2026-39808)も同時にKEVへ追加しており、こちらもFCEB期限が2026年7月19日に設定されています。同日にKEVへ追加された複数製品が対象となる組織は、インターネット露出、実悪用状況、資産の重要度、利用構成を基に並行して優先順位を決定してください。

CISAが挙げているハードニング措置

CISAは、CVE-2026-58644を含むSharePoint関連の実悪用中脆弱性への対応として、以下のハードニング措置を公式アラートで案内しています。攻撃者の侵害後の活動を封じ込める観点で、パッチ適用と並走で実施することが推奨されています。

Microsoftの最新パッチとセキュリティ更新の適用:適用が完了したことを検証し、可能な場合はパッチ適用サイクル自体を短縮する。
AMSI連携の有効化:SharePoint Webアプリケーションごとに、Antimalware Scan Interface(AMSI)との連携が有効になっていることを確認する。
マシンキー窃取ツールと侵害痕跡のスキャンおよび除去:CISAは、IISマシンキーを窃取するツールやその他の侵害痕跡を検出・除去したうえで、マシンキーをローテーションするよう案内しています。
ログ機構の整備:悪用活動を検知・監視するための、環境に応じたログ収集メカニズムを整える。
直接インターネット公開の回避:業務上必要でない限り、SharePoint Serverを直接インターネットに露出させない。
Central Administrationへの外部アクセス遮断:SharePoint Central Administrationへの外部からのアクセスをブロックし、ファームとデータベース間の通信を必要なシステムのみに制限。Microsoftのセキュリティハードニングガイダンスに沿ってロール別のポート、サービス、Web.config設定を見直す。

修復手順と実務的な対応

Microsoftは、パッチ以外の回避策や軽減策を今回公表していません。オンプレミス版SharePointを運用している組織で必要な対応は以下の通りです。

影響バージョンの棚卸し:SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016の稼働状況を確認する。ファームが複数ノードで構成されている場合、Webフロントエンド、アプリケーションサーバ、検索サーバなどすべてのノードでパッチ適用状況を確認する。
Patch Tuesday更新の適用:ファーム内のすべてのSharePointサーバへ該当更新を適用し、SharePoint Products Configuration Wizardまたはpsconfigによる構成更新を完了します。Central Administrationの「Upgrade and Migration」で、製品・パッチのインストール状態とアップグレード状態を確認してください。Get-SPFarmのBuildVersionだけで適用完了を判断しないようにします。
4件のCVEを一体で確認:CISAが実悪用中と明示している4件(CVE-2026-32201 / CVE-2026-45659 / CVE-2026-56164 / CVE-2026-58644)は、それぞれ別のパッチで修正されている。CVE-2026-45659は2026年5月の帯域外更新、CVE-2026-32201は2026年4月Patch Tuesday、残り2件は2026年7月Patch Tuesdayが該当する。4月以降のSharePoint関連パッチが全て適用済みかを一度に監査するのが実務的である。
IISマシンキーの点検とローテーション:CISAの手順に沿い、窃取ツールと侵害痕跡のスキャン・除去を先行させたうえで、マシンキーをローテーションする。既にIISマシンキーが窃取されている場合、パッチ適用のみでは攻撃者のアクセス経路が残る点に注意する。
Webサーバログとイベントログの精査:Central Administrationへの外部アクセス試行、通常業務外のPowerShell実行、SharePoint関連プロセスからの子プロセス生成などを重点的に確認する。

CVE-2026-45659のようにSite Member権限で悪用可能なCVEも同時に警戒対象であることから、社内アカウントの棚卸し、SharePointの権限モデル(Site Members / Site Owners / ファーム管理者)の見直しもあわせて実施することが望まれます。

運用担当者にとってのポイント

今回のCVE-2026-58644はKEVへの登録と実悪用の記述追加が同時期に進んだことで、優先度の判断は明確ですが、実際の対処では次の観点を意識することが有効です。

公開露出の再評価:SharePoint Serverが直接インターネットに露出している構成は、リバースプロキシやWAFの前段配置の有無にかかわらず、公開範囲を業務要件から再点検する。Central Administrationは外部から到達不能であることを前提とし、内部からのみ管理する運用に切り替える。
マシンキー侵害の想定と点検:影響バージョンをインターネットへ公開していた環境や、侵害の兆候が確認された環境では、マシンキーが窃取されている可能性も考慮し、通信ログ、認証ログ、ViewState関連の異常を確認します。CISAがマシンキー窃取を明示的な観測事象として取り上げている以上、パッチ適用の完了とマシンキー侵害の否定は別問題として扱います。
SharePointの権限モデル監査:Site Member、Site Owner、ファーム管理者の権限が過剰に付与されていないか、退職者や外部委託先の権限が残置していないかを確認する。認証要件に不整合はあるものの、他の関連CVE(例:CVE-2026-45659はSite Member)は認証を前提としており、権限管理の見直しは複数の脆弱性への防御を一度に強化することにつながる。
SharePoint 2016/2019からの移行検討:2016と2019はサポート終了済みであり、今後は通常のセキュリティ更新が提供されません。継続利用中の環境では、今回の最終セキュリティ更新の適用と並行して、Subscription Editionへの移行や、SharePoint Onlineへの移行計画を具体化しておく必要があります。
SharePoint系実悪用の反復を前提とした運用計画:2026年4月以降の約3か月間で4件の実悪用中CVEがKEV追加されている状況を踏まえ、緊急パッチの適用体制、フォレンジック調査のリソース、実悪用中の脆弱性が公表された際のロールバック計画をあらためて確認しておく価値があります。

今回のように、侵害後の永続化やマシンキー窃取が懸念される場合、パッチ適用だけでは対応が完結しません。今回のCVE-2026-58644は、パッチ公開からKEV追加までの期間が2日と短い事例です。BOD 26-04の期限はFCEBに向けたものですが、実悪用の観測が公式に確認されている以上、民間組織においても期限にかかわらず優先対応が必要な事案として扱われるべきです。