SharePoint ServerのCVE-2026-50522が実悪用、公開PoCでマシンキー窃取を観測

JPCERT/CCは2026年7月31日、Microsoftの2026年7月セキュリティ更新に関する注意喚起を更新し、オンプレミス版SharePoint Serverに影響する2件のリモートコード実行(RCE)脆弱性について、悪用情報を追記しました。対象はCVE-2026-58644とCVE-2026-50522で、いずれも信頼できないデータのデシリアライゼーションに起因し、MicrosoftによるCVSS v3.1の基本値は9.8です。

CVE-2026-58644はMicrosoftが実悪用ありへ情報を更新し、CISAの既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities、KEV)へ2026年7月16日に登録済みです。TKC Tech Labでは、この脆弱性についてすでに個別記事で取り上げています。今回新たに注目すべきなのは、CVE-2026-50522も7月22日にKEVへ追加され、公開された実証コード(PoC)を利用した攻撃をwatchTowrがハニーポットで観測したことです。

watchTowrによると、攻撃者は脆弱なSharePoint Serverへ1回のリクエストを送り、サーバーのマシンキーを取得していました。マシンキーが窃取された場合、セキュリティ更新を適用して脆弱性を修正しても、攻撃者が細工したデータの生成やアクセス維持へ利用する可能性があります。JPCERT/CCは、オンプレミス版SharePoint Serverを使用している組織へ、速やかな更新と侵害有無の調査を推奨しています。

CVE-2026-50522の全体像

7月31日のJPCERT/CC更新で追加された内容

JPCERT/CCの注意喚起は2026年7月15日に公開され、7月31日にSharePoint Serverの悪用状況が追記されました。更新内容は、同じ製品と脆弱性種別を持つ2件のRCEを区別して整理しています。

• CVE-2026-58644:Microsoftが脆弱性情報を更新し、実際の攻撃で悪用されていることを公表
• CVE-2026-50522:CISA KEVへ登録済み。公開PoCを利用した攻撃をwatchTowrが観測し、SharePoint Serverからマシンキーが窃取されたと報告

CVE-2026-58644は、Microsoftの実悪用確認とCISA KEV登録がすでに公表されていました。一方、CVE-2026-50522については、PoC公開後の実際の攻撃とマシンキー窃取が確認されたことで、単なるパッチ適用対象から、侵害調査を伴うインシデント対応対象へ優先度が上がっています。

CISAはCVE-2026-50522を2026年7月22日にKEVへ追加し、米連邦民間行政機関(FCEB)へ7月25日までの対応を求めました。期限は米連邦機関向けですが、インターネットへ公開されたSharePoint Serverや、外部から到達可能な環境を運用する民間組織でも、同等の優先度で対応する必要があります。

CVE-2026-58644とCVE-2026-50522の違い

2件はいずれもMicrosoft Office SharePointにおける信頼できないデータのデシリアライゼーション脆弱性で、MicrosoftがCVE番号付与機関(CNA)として登録した説明、CWE、CVSSベクターは共通しています。

• CVSSベクター:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• 攻撃経路:ネットワーク
• 必要権限:不要
• ユーザー操作:不要
• 想定影響:機密性・完全性・可用性のすべてにHigh

ただし、別々のCVEとして登録されており、修正された時期も異なります。CVE-2026-58644は2026年6月のSharePoint更新で修正され、CVE-2026-50522は7月の更新で修正されました。Microsoftは公開情報で、2件の内部的な処理経路や攻撃対象となるエンドポイントの違いを詳細には説明していません。

Microsoft Security Update Guideの説明には、少なくともサイト所有者(Site Owner)として認証された攻撃者を前提とする記述がある一方、MicrosoftがCVE番号付与機関として公開したCVEレコードとCVSSベクターはPR:Nで、認証されていない攻撃者によるネットワーク経由のコード実行としています。Defusedが取得した攻撃リクエストにも認証情報は含まれていなかったと報告されています。本記事では、構造化されたCVE/CVSS情報と実際の攻撃観測を優先し、権限不要として整理しています。ただし、Microsoftの説明内に不一致が残っている点には注意が必要です。

CVE-2026-50522は、DEVCORE Research Teamの研究者によりPwn2Own Berlin 2026で実演され、動作するエクスプロイトがMicrosoftへ提供されました。Zero Day Initiativeは、Microsoftが公開時にエクスプロイト成熟度を不明としていた点について、実際のエクスプロイトを引き渡し済みであることとの不一致を指摘しています。その後、別の公開PoCが登場し、watchTowrは公開から数時間以内に悪用試行を観測しました。

運用上は、どちらか一方だけを個別に対処するのではなく、2026年7月の累積的なセキュリティ更新を適用することが重要です。7月更新は6月更新を置き換えるため、各製品の7月更新へ進めばCVE-2026-58644とCVE-2026-50522の両方を修正できます。

CVE-2026-58644のKEV登録、攻撃条件、2026年6月更新時点の修正ビルドについては、以下の記事で詳しく整理しています。

Microsoft SharePoint ServerのRCE脆弱性CVE-2026-58644で実悪用を確認、CISA KEV追加

影響製品と修正ビルド

MicrosoftがCVE番号付与機関(CNA)として登録した影響情報では、SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016が対象です。SharePoint Onlineは影響製品に含まれていません。

CVE-2026-58644は6月更新で修正されましたが、CVE情報自体は7月14日に公開されました。このため、脆弱性の公開日だけを見ると7月の問題に見えますが、修正コードは6月の更新にすでに含まれていました。

CVE-2026-50522は7月更新で修正されています。SharePoint Server Subscription EditionのKB5002882はKB5002873を、SharePoint Server 2019のKB5002883はKB5002874を、SharePoint Server 2016のKB5002891はKB5002880を置き換えます。7月更新を正常に適用すれば、6月と7月の2件をまとめて修正できます。

マシンキーが窃取されるとパッチだけでは不十分

SharePoint ServerはIISとASP.NET上で動作し、マシンキーをViewStateなどのデータの検証と暗号化に使用します。SharePoint Server Subscription Editionでは、マシンキーを管理するためのSet-SPMachineKeyやUpdate-SPMachineKeyが提供されており、Microsoftもキーが侵害された場合のローテーションを想定しています。

攻撃者がマシンキーを取得すると、正規サーバーが生成したように見えるデータを作成し、パッチ適用後も不正な操作や永続化に利用する可能性があります。watchTowrは、公開PoCを利用した攻撃で、SharePoint Serverからマシンキーを1回のリクエストで取得する活動を観測したと説明しています。

このため、すでに攻撃を受けた可能性がある環境では、セキュリティ更新を適用して脆弱な処理を塞ぐだけでは対応が完了しません。攻撃者が配置したファイル、プロセス、タスク、アカウントなどを除去せずにキーだけを変更すると、新しいキーを再取得される可能性があります。

マシンキーのローテーションは、侵害範囲の確認、攻撃者の排除、永続化手段の除去を行った後に実施する必要があります。複数のWebフロントエンドを持つファームでは、構成の一貫性とサービス影響を確認し、SharePointのバージョンに対応するMicrosoftの手順に従ってください。

ファーム内の全サーバーで更新を完了する

SharePoint Serverは、Webフロントエンド、アプリケーションサーバー、検索サーバーなど、複数のノードでファームを構成できます。外部公開されているWebフロントエンドだけを更新しても、未更新ノードが残ればファーム全体の対応は完了しません。

各サーバーへ更新をインストールした後は、SharePoint Products Configuration WizardまたはPSConfigを実行し、データベースとファーム構成の更新を完了させます。単にWindows UpdateやMicrosoft Updateが成功したことだけで判断せず、サーバーの全体管理(Central Administration)の「アップグレードと移行(Upgrade and Migration)」や製品・パッチの状態を確認してください。

2026年7月更新を適用する際は、SharePoint Workflow Managerの利用状況にも注意が必要です。Microsoftは、SharePoint Workflow Managerを実行している環境では、累積更新を適用する前にKB5002799をファームへインストールするよう案内しています。

7月更新に伴う既知の問題

2026年7月のSharePoint更新には、製品や認証構成に応じた既知の問題があります。Critical脆弱性の修正を見送る理由にはなりませんが、適用前に検証とロールバック計画を準備する必要があります。

• 複数Webフロントエンド環境:信頼済みプロバイダー(Trusted Provider)またはフォーム認証(Forms認証)を使用するファームで、認証要求の繰り返しや複数回のサインインが発生する場合がある
• 暫定的な対処:Microsoftはリバースプロキシでスティッキーセッションを構成することで、多くのケースを軽減できると説明
• 無効化を避ける設定:SessionCookieTransformProtectionEnabledを無効にすると認証保護が弱まるため、Microsoftは推奨していない
• ワークフロー状態画面:WrkStat.aspxでWorkflowInstanceIDのエラーが表示される場合がある
• SharePoint Server 2016:ブラウザー上でOffice文書を表示・編集するOffice Online Serverで、文書を表示・編集できなくなる既知の問題があり、Microsoftが回避手順を公開

SharePoint Server Subscription EditionのKB5002882には、PSConfig実行後に追加の設定変更が必要となる既知の問題も掲載されています。適用する製品のKBを直接確認し、一般的なパッチ手順だけでなく、当該更新固有の手順を反映してください。

SharePoint Server 2016・2019はサポート終了

SharePoint Server 2016とSharePoint Server 2019は、2026年7月14日に延長サポートを終了しました。7月の更新はサポート終了日に提供された最後の月例セキュリティ更新にあたり、今後新たな脆弱性が見つかっても通常のセキュリティ更新は提供されません。

今回のKB5002891またはKB5002883を適用することは必須ですが、それだけで長期的に安全な運用へ戻るわけではありません。SharePoint Server Subscription Editionへの移行、SharePoint Onlineへの移行、または対象システムの廃止を具体的な日程に落とし込む必要があります。

特にインターネットへ公開している2016・2019環境は、今後も同様のRCEが発見された場合に修正版を受け取れない可能性があります。公開範囲を縮小しながら移行を進め、サポート終了製品を恒久運用しないことが重要です。

侵害有無の調査で確認する項目

JPCERT/CCは、CVE-2026-58644とCVE-2026-50522について悪用情報が公開されていることから、パッチ適用と侵害有無の調査を推奨しています。特に、修正前のSharePoint Serverをインターネットへ公開していた環境では、攻撃を受けていないことを確認する作業が必要です。

• 資産と公開範囲:SharePoint Serverのバージョン、ファーム構成、外部公開URL、リバースプロキシ、WAF、VPN経由の到達性を確認する
• 更新状態:全ノードが7月更新以降のビルドになっているか、PSConfigまで完了しているか確認する
• IISログ:通常と異なるリクエスト、短時間の連続アクセス、未知の送信元、エラー応答の増加を確認する
• Windowsイベントログ:SharePointやIIS関連プロセスからの不審なプロセス起動、PowerShell実行、アカウント変更を確認する
• ファイルシステム:Webルート、SharePoint関連ディレクトリ、一時ディレクトリに不審なファイルが追加されていないか確認する
• 永続化:新規サービス、タスクスケジューラ、スタートアップ項目、管理者アカウント、Webシェルなどを確認する
• マシンキー:侵害の可能性を否定できない場合は、攻撃者の排除後にローテーションを実施する
• 周辺システム:SharePointのサービスアカウント、SQL Server、Active Directory、バックアップ、外部ストレージへの不審なアクセスを確認する

侵害の兆候が見つかった場合は、対象サーバーをネットワークから隔離し、証拠を保全した上でインシデント対応を進めてください。稼働中のサーバーを直ちに初期化すると、侵入経路や影響範囲を特定するための情報が失われる可能性があります。

実務上の推奨対応

今回の対応では、脆弱性修正、侵害調査、秘密情報の再設定、製品移行を分けて管理する必要があります。

• 最優先:SharePoint Server Subscription EditionはKB5002882、2019はKB5002883、2016はKB5002891以降を全ファームノードへ適用する
• 構成更新:更新後にPSConfigを実行し、ファームとデータベースの更新状態を確認する
• 侵害調査:修正前に外部到達可能だった環境では、ログ、プロセス、ファイル、アカウント、永続化を調査する
• キーの変更:侵害の可能性がある場合は、攻撃者を排除した後にマシンキーをローテーションする
• 露出低減:業務上不要なインターネット公開を停止し、サーバーの全体管理への外部アクセスを遮断する
• 移行計画:サポート終了済みのSharePoint Server 2016・2019からSubscription EditionまたはSharePoint Onlineへ移行する

CVE-2026-50522は、公開PoCから実際の攻撃観測までの時間が短く、攻撃後にマシンキーを窃取する活動も確認されています。パッチが適用されていることと、侵害されていないことは別の確認事項です。更新前に外部へ露出していた環境では、パッチ適用を完了した後も侵害調査を省略しないでください。

一次情報・公式情報

2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起(JPCERT/CC、2026年7月31日更新)
CVE-2026-50522 Microsoft SharePoint Remote Code Execution Vulnerability(Microsoft)
CVE-2026-58644 Microsoft SharePoint Remote Code Execution Vulnerability(Microsoft)
NVD CVE-2026-50522
NVD CVE-2026-58644
CISA 既知の悪用が確認された脆弱性カタログ: CVE-2026-50522
SharePoint Server Subscription Edition: July 14, 2026(KB5002882)
SharePoint Server 2019: July 14, 2026(KB5002883)
SharePoint Server 2016: July 14, 2026(KB5002891)
SharePoint Server 2019の製品ライフサイクル(Microsoft)
SharePoint Server 2016の製品ライフサイクル(Microsoft)

参考情報

CVE-2026-50522 Exploitation Alert: SharePoint On-Premise Vulnerability(watchTowr)
Update to the July 17 SharePoint report(Defused)
ZDI-26-412: Microsoft SharePoint Deserialization of Untrusted Data RCE(Zero Day Initiative)
The July 2026 Security Update Review(Zero Day Initiative)