SharePointにログイン不要で乗っ取り CVE-2026-50522ほか即更新を

企業の社内ポータルや文書共有に広く使われるMicrosoftの「SharePoint Server（シェアポイント サーバー）」に、2026年7月の月例更新（Patch Tuesday）で、ログイン不要でサーバーを乗っ取られる脆弱性が新たに2件公表されました。CVE-2026-50522とCVE-2026-58644で、危険度はどちらも10点満点中9.8点（重要度「緊急」）です。事前のログインも利用者の操作もいらず、ネットワーク越しに直接悪用され得るため、5月に見つかった同種の穴よりも一段危険です。

SharePoint Serverでは、この直前の2026年5月にも乗っ取りの脆弱性CVE-2026-45659（危険度8.8）が見つかり、その後この穴を狙う実際の攻撃が確認され、米政府機関CISAが「悪用中の脆弱性リスト（KEV）」に追加しています。同じ「データの復元処理」を突く乗っ取りが、数か月のあいだに立て続けに出ている状況です。対象はいずれも自社で運用するオンプレミス版のSharePoint Server（2016／2019／サブスクリプション版）で、クラウド版のSharePoint Online（Microsoft 365）は影響を受けません。修正はすでに配布されています。オンプレミス版を運用しているなら、7月の更新を今すぐ適用してください。

【続報 2026年8月21日】CVE-2026-55040がKEV追加、期限は本日 ― 実証コードの公開が引き金でした

米CISAは2026年8月18日、本記事が扱ってきたCVE-2026-55040を「実際に攻撃されている脆弱性リスト（KEV）」へ追加しました。是正期限は2026年8月21日、つまり本日です（登録から3日）。この脆弱性は7月14日の月例更新で修正済みですが、当初は悪用が確認されていませんでした。

先に、いちばん重い話をします ― 2019と2016はサポートが終わりました

JPCERT/CCが7月31日に追記した一文が、この件でいちばん重要です。

今回の一連の脆弱性が公表されたのが、まさにそのサポート終了日です。2019・2016を使い続けている場合、今後の脆弱性には修正が出ません。更新の話ではなく、移行の計画を立てる話になっています。

実証コードが出た2日後に、攻撃が集中しました

今回のKEV追加は、新しいゼロデイ攻撃が見つかったからではありません。実証コードが公開され、それを真似た攻撃が急増したからです。日付を並べると分かります。

ある観測サービスの集計では、7月中旬からの約1か月で記録された攻撃のうち、9割前後が8月13日と14日の2日間に集中していました。実証コードの公開から2〜3日後です。ただしこの数字は1社の観測に基づくもので、独立した裏付けはありません。傾向として読んでください。

同じことが7月にも起きています。CVE-2026-50522では、実証コードが公開された当日のうちに、おとりサーバーが攻撃を受けたと報告されました。この一連のSharePoint攻撃は、未知の攻撃から始まったのではなく、公開された道具に人が群がる形で広がっています。裏を返せば、実証コードが出る前に更新できていれば間に合う、ということでもあります。

マイクロソフトの表示は、いまも「悪用なし」です

確認しておきたい食い違いがあります。CISAが8月18日に「実際に攻撃されている」と判断した後も、マイクロソフトの脆弱性情報ではCVE-2026-55040は「悪用: なし」のままです（8月21日時点、7月14日の公開時から更新なし）。

似た例がもう1件あります。CVE-2026-45659はCISAが身代金要求型の攻撃に使われていると分類していますが、マイクロソフト側の評価は「悪用される可能性は低い」のままです。どちらか一方だけを見て判断すると取りこぼします。

8月11日に出た2件は、まだ攻撃されていません

8月11日の月例更新でSharePoint関連は29件修正されました。このうち注意が要るのは2件です。

• —CVE-2026-63520（8.1）ログイン不要で任意のプログラムを実行される。ただし成立条件が厳しく、マイクロソフトは「悪用は複雑で時間がかかる」と説明
• —CVE-2026-65665（8.8）ログインが必要。サイト所有者相当の権限が要ります

2件ともKEVには載っておらず、実際に攻撃された報告もありません。修正はSubscription EditionがKB5002893、2019がKB5002894とKB5002896、2016がKB5002905とKB5002906です（CVE-2026-65665は2016に影響しません）。

ただし先の予定が読める話が1つあります。CVE-2026-63520を報告したRapid7は、詳細と実証コードの公開を約30日間見送ると表明しています。解禁はおよそ9月10日です。この2件は本人確認をすり抜ける55040と、プログラムを実行させる63520を組み合わせると、ログインなしの乗っ取りが成立する関係にあります。55040がすでに狙われている状況で63520の実証コードが出れば、7月・8月と同じことがもう一度起きる可能性があります。8月中に両方あてておくのが、いちばん確実です。

日本語の情報は、攻撃されている側だけが抜けています

日本語で追っている方に注意していただきたい点です。日本の脆弱性データベースJVN iPediaには、8月11日公表の12件が8月17日付で登録されています。ところが実際に攻撃されている7月分（CVE-2026-50522・CVE-2026-55040・CVE-2026-58644）は、8月21日時点で登録がありません。攻撃されていない側だけが日本語で読める、という逆転が起きています。

JPCERT/CCは7月分の注意喚起（JPCERT-AT-2026-0020）に7月31日付でCVE-2026-58644とCVE-2026-50522を追記していますが、CVE-2026-55040には触れていません。8月分の注意喚起にもSharePointの記載はありません。IPAの案内も同様です。日本の組織が被害に遭ったという公表も、いまのところありません。

【続報 2026年7月23日】CVE-2026-50522も実際の悪用を確認、CISA KEVに追加

これまで「悪用の報告なし」としていた未認証リモートコード実行の脆弱性 CVE-2026-50522（危険度9.8）について、状況が大きく変わりました。2026年7月20日に実証コード（PoC）が公開された直後から、これを悪用する試みが実際に観測され、米政府機関CISAも実際に攻撃されている脆弱性のリスト（KEV）に追加しました。これで、7月に公表された2件（CVE-2026-50522・CVE-2026-58644）はいずれも実悪用が確認されたことになります。

特に警戒すべきは、攻撃者が侵入後に「マシンキー」（SharePointが内部で使う暗号鍵）を盗み出している点です。マシンキーを奪われると、修正を適用した後でも正規の認証情報を偽造され、侵入を維持される恐れがあります。そのため、対処は「更新するだけ」では不十分です。パッチ適用後にマシンキーを入れ替える（ローテーションする）ところまで行ってください。あわせて、インターネットに公開しているオンプレミス版SharePoint Serverでは、不審なWebシェルの設置や見慣れない通信がないかの点検を強く推奨します。

【続報 2026年7月21日】未認証RCEのCVE-2026-58644、実際の悪用を確認しCISA KEVにも追加

オンプレミス版SharePoint Serverの未認証リモートコード実行の脆弱性CVE-2026-58644（危険度9.8）について、Microsoftは2026年7月15日にアドバイザリを更新し、悪用状況を「Exploitation Detected（実際の悪用を確認）」へ引き上げました。公開当初は悪用未確認の扱いでしたが、翌日に実悪用ありへ格上げされた形です。さらに米政府機関CISAも、2026年7月16日にCVE-2026-58644を「悪用中の脆弱性リスト（KEV）」へ追加し、連邦機関に期限付きの対応を求めました。ログイン不要・利用者操作なしで、細工したデータを送るだけでサーバー上で不正なプログラムを実行される恐れがあります。

対象はSharePoint Server 2016／2019／サブスクリプション版で、クラウドのSharePoint Onlineは対象外です。修正は2026年7月14日公開の月例更新（各バージョンの修正ビルド以降）で提供されています。まだ適用していないサーバーは今すぐ更新してください。すでに攻撃が観測されているため、更新の先送りは危険です。過去の悪用事例は攻撃中の脆弱性カタログ（KEV）でも継続的に追跡されています。

2026年7月に見つかった2件、ログイン不要でサーバーを乗っ取れる

まず、今いちばん優先すべき最新の2件から見ていきます。どちらも仕組みは同じで、SharePointが受け取ったデータを無防備に「復元」してしまう点を突きます（詳しい仕組みは後述します）。5月の脆弱性との決定的な違いは、悪用に一切のログインが要らないことです。危険度の内訳でも「事前の権限なし（PR:N）」「利用者の操作なし（UI:N）」「ネットワーク経由（AV:N）」と評価され、満点に近い9.8点がついています。インターネットや社内ネットワークからSharePointに届く経路さえあれば、アカウントを一つも持たない攻撃者が直接狙えます。

CVE-2026-50522: 未認証でコードを実行される（危険度9.8）

Microsoftの説明は「Microsoft Office SharePointにおける信頼できないデータの復元により、認証されていない攻撃者がネットワーク経由でコードを実行できる」というものです。修正済みビルドは、SharePoint 2016が16.0.5561.1001以降、2019が16.0.10417.20175以降、サブスクリプション版が16.0.19725.20434以降です。今回の3件のうち最も新しい（＝最も高い）ビルドで直るため、このビルド以上に更新すれば5月・7月の3件すべてが解消します。

CVE-2026-58644: 同じ仕組みで未認証の乗っ取り（危険度9.8）

もう1件のCVE-2026-58644も、同じ「信頼できないデータの復元」（CWE-502）による未認証のコード実行です。説明文・危険度（9.8）・悪用条件（ログイン不要・操作不要・ネットワーク経由）はCVE-2026-50522とそろっています。修正済みビルドは、SharePoint 2016が16.0.5556.1005以降、2019が16.0.10417.20153以降、サブスクリプション版が16.0.19725.20384以降です。上のCVE-2026-50522の修正ビルドを当てれば、こちらも同時にふさがります。

どの版にどの更新プログラム（KB）を当てるかは、各CVEのMicrosoft公式ページで確認できます。迷ったら「自社の版で、上の表のCVE-2026-50522のビルド以上になっているか」を基準にすれば、5月・7月の3件すべてを一度に満たせます。

この7月の更新は、上の2件の乗っ取りだけを直すものではありません。ログイン不要でSharePointの本人確認を回避されるおそれのある穴（CVE-2026-55040・危険度9.1）や、のちに実際の攻撃が確認された権限昇格の穴（CVE-2026-56164）も、同じ更新で同時にふさがります。修正ビルドはいずれも上の表と同じなので、7月分まで上げれば関連するSharePointの穴をまとめて解消できます。

誰が、何のために狙うのか

今回の7月の2件で警戒すべきは、SharePointに通信が届く場所から、アカウントを一つも持たずに侵入を試みる外部の攻撃者です。ログインが要らないため、インターネットに公開されたSharePointはもちろん、社内ネットワークに一歩入り込んだ相手からも直接狙われます。5月のCVE-2026-45659は「低い権限でもログインが必要」という条件でしたが、7月の2件はその条件すら外れており、狙える相手の範囲が大きく広がっています。

攻撃者ができてしまうのは、細工したデータをSharePointに送り込み、サーバー上で自分のプログラムを実行してサーバーごと乗っ取ることです。文書を読み書きするだけの窓口だったはずのSharePointが、そのまま社内サーバーの支配権に変わります。

SharePointサーバーを乗っ取られると、被害は文書だけでは終わりません。社内の機密文書や個人情報、SharePointが連携する他システムへの接続情報が抜き取られ、そこを足がかりに社内ネットワークの奥深くへ侵入されます。実際、オンプレミス版のSharePointは近年ランサムウェア攻撃の主要な侵入口になっており、乗っ取りは組織全体の被害に直結します。だからこそ、後述する更新を最優先で進める必要があります。

SharePoint Serverとは何か、クラウド版との違い

SharePointは、社内の文書共有、ポータルサイト、業務アプリの土台として使われるMicrosoftの製品です。ファイルの保管・共有、申請フローやチームサイトの構築などに使われ、多くの企業や官公庁が導入しています。

ここで重要なのが、SharePointには大きく2種類ある点です。自社のサーバーに設置して運用する「SharePoint Server（オンプレミス版）」と、Microsoftのクラウド上で使う「SharePoint Online（Microsoft 365に含まれる）」です。今回の3件（CVE-2026-50522／58644／45659）が影響するのはいずれも前者のオンプレミス版だけで、クラウドのSharePoint Onlineは対象外です。自社でSharePointのサーバーを立てて運用しているか、それともMicrosoft 365経由でクラウドを使っているかで、対応の要否が分かれます。まずは自分の組織がどちらかを確認してください。

オンプレミス版のSharePointは、更新を管理者が自分で適用しなければならず、しかも業務の中心にあるため止めにくく、パッチの適用が後回しになりがちです。この「更新の遅れやすさ」が、攻撃者に狙われ続ける大きな理由になっています。

何が起きるのか、3件に共通する仕組み

今回の3件はいずれも、SharePointが受け取ったデータを無防備に「復元」してしまう点が原因です。プログラムの世界では、データを保存・送信するためにいったん固めた形から元の形に戻す処理（デシリアライズ）がよく使われます。この戻す処理に、送られてきた中身を信用しすぎる実装があると、攻撃者が細工したデータを使って任意のプログラムを実行できてしまいます。今回突かれたのは、この「信頼できないデータの復元」（CWE-502）です。

攻撃者は、細工したデータをSharePointに送り込み、サーバー側がそれを復元する瞬間に、自分の用意したプログラムを走らせます。実行はSharePointサービスの権限で行われるため、そのサーバーが扱う文書やデータ、連携先の認証情報まで攻撃者の手が届きます。違いは「入口の条件」だけです。7月のCVE-2026-50522とCVE-2026-58644はログインが一切要らず（未認証・9.8）、5月のCVE-2026-45659は低い権限のログインが必要（8.8）という差になります。

なお、5月のCVE-2026-45659については、一部の報道が「認証不要でCVSS 9.8」と伝えていましたが、これは正確ではありません。NVD（米国立標準技術研究所の脆弱性データベース）の評価はCVSS 8.8で、悪用には低権限のログインが必要です。一方で、7月に公表された2件は評価そのものが未認証・9.8です。番号ごとに条件が違うため、混同しないようにしてください。

すでに悪用が始まっているのはどれか

危険度の数字と同じくらい大事なのが、「実際に攻撃が起きているか」です。ここは3件で状況が分かれます。

5月のCVE-2026-45659は、すでに悪用が確認されています。Microsoftは5月の月例更新で修正を公開しましたが、その後この穴を突く攻撃が観測され、米政府機関CISAが「実際に攻撃されている脆弱性リスト（KEV）」へ追加しました。KEVは、攻撃が現実に起きていると確認されたものだけが載るリストです。日本語で追える悪用状況はCISA KEV ダッシュボード（日本語版）にまとめています。

乗っ取りに直結する7月の2件のうち、CVE-2026-58644はすでに実際の悪用が確認されています。Microsoftは2026年7月15日に悪用状況を「Exploitation Detected（実際の悪用を確認）」へ引き上げ、CISAも翌16日にこれをKEVへ追加しました。もう1件のCVE-2026-50522についても、2026年7月20日のPoC公開直後から実際の悪用が観測され、CISA KEVに追加されました（詳しくは冒頭の続報を参照）。ログイン不要で悪用のハードルが低いうえ、攻撃者はマシンキーを盗んでパッチ適用後も侵入を維持しようとするため、更新に加えてマシンキーのローテーションまで行う必要があります。

さらに、7月の更新に含まれる別のSharePointの穴、CVE-2026-56164が、CISAのKEV（実際に攻撃されている脆弱性リスト）に追加されました。この穴自体は権限の昇格につながるもので、Microsoftの評価は5.3ですが、NVD（米国立標準技術研究所）は9.8（緊急）と評価しており、数字の受け止めは割れています。いずれにせよ重要なのは、攻撃者がいま現にSharePointを狙って動いているという事実です。乗っ取りに直結する9.8の2件や、未認証で認証を回避されるCVE-2026-55040とあわせて考えれば、7月の更新を当てる緊急度はさらに上がっています。「まだ乗っ取りの報告がない」を「対応しなくてよい」と読み替えるのは危険で、悪用が広がる前の今こそ当てておくべきタイミングです。

自分の組織は対象か、対応の早見表

まず、自社でSharePointのサーバーを運用しているか（オンプレミス版か）を確認してください。Microsoft 365経由のSharePoint Onlineだけを使っているなら、この3件の対応は不要です。オンプレミス版なら、下の「安全になるビルド」以上に上がっているかを確認します。7月分（CVE-2026-50522）のビルドまで上げれば、5月分も含めて3件すべてが解消します。

修正は月例更新に含まれており、Microsoftは各版向けの更新プログラム（KB）を配布しています。どの版にどのKBを当てるかは、各CVEのMicrosoft公式ページで確認してください。自社のビルド番号は、SharePoint管理センターの「サーバーの全体管理」やPowerShellで確認できます。

背景、なぜオンプレSharePointは狙われ続けるのか

数か月のあいだに同じ種類の乗っ取りが3件も出たことからわかるように、これは単発の事故ではありません。オンプレミス版のSharePointは、「信頼できないデータの復元」による乗っ取り（CWE-502）が繰り返し見つかり、実際に大規模な攻撃に使われてきた製品です。2025年には「ToolShell」と呼ばれる一連のSharePoint脆弱性が世界中で大量に悪用され、多数の組織のサーバーが乗っ取られました。今回の3件も、同じ「復元処理の穴」という系譜に連なります。

なぜ繰り返されるのか。背景には2つの構造があります。ひとつは技術面で、SharePointが内部で多用する「データの復元処理」が、細工された入力に対して弱点になりやすいこと。もうひとつは運用面で、オンプレミス版は更新を各組織が手作業で適用する必要があり、業務停止を避けたい事情からパッチが遅れがちなことです。攻撃者から見れば、社内の中枢に置かれ、価値の高い文書が集まり、しかも更新が遅れやすいSharePointは、費用対効果の高い標的です。

実務的な結論はシンプルです。オンプレミス版SharePointは「いつ狙われてもおかしくない資産」として扱い、月例更新を遅滞なく適用する体制を作ること。そして長期的には、更新をMicrosoftが担うクラウド版（SharePoint Online）への移行も、選択肢として検討する価値があります。

いま何をすべきか

最優先は、オンプレミス版SharePointに2026年7月の月例更新（該当KB）を適用することです。7月分まで上げれば、5月に悪用が始まったCVE-2026-45659も含めて3件がまとめて直ります。すでに悪用中の穴が残っている以上、検証を理由に先送りにする余裕はありません。可能な限り早く、対象サーバーすべてに適用してください。

更新に加えて、次の点も確認しておくと安全です。まず、SharePointサーバーのアンチマルウェア連携（AMSI）が有効になっているかを確認すること。Microsoftは復元処理を悪用する攻撃への防御としてAMSIの有効化を推奨しています。次に、SharePointを外部に公開している場合は、本当に公開が必要かを見直し、社内や許可した相手だけに絞ること。今回の7月の2件はログイン不要で悪用できるため、届く範囲を狭めるだけで被害の芽を大きく減らせます。最後に、すでに侵入されていないかの点検です。見慣れないファイル（特にaspxなどのWebページ部品）、身に覚えのない管理者アカウントやプロセス、不審な通信がないかを確認し、疑わしければ認証情報の入れ替えと詳しい調査を行ってください。

まとめ

2026年7月、オンプレミス版のSharePoint Serverに、ログイン不要でサーバーを乗っ取れる脆弱性が2件（CVE-2026-50522／CVE-2026-58644、いずれも危険度9.8）公表されました。5月に見つかり、すでに悪用が確認されているCVE-2026-45659（8.8、CISA KEV登録済み）と同じ「データの復元処理」を突く系統で、7月の2件は悪用にログインすら要らないぶん一段危険です。しかも7月のCVE-2026-58644は公開直後に実際の悪用が確認され、CISA KEVにも追加されました。対象は2016／2019／サブスクリプション版で、クラウドのSharePoint Onlineは影響を受けません。

オンプレミス版SharePointは、復元処理の穴による乗っ取りが繰り返され、更新の遅れを突かれ続けてきた製品です。「修正は出ているが未適用」の状態こそが最大のリスクです。まずは自社がオンプレミス版を使っているかを確認し、使っているなら7月の月例更新を今すぐ適用してください。7月分まで上げれば3件がまとめて解消します。あわせて、外部公開の見直しと、すでに侵入されていないかの点検も忘れずに。

参照元

• ▸NVD - CVE-2026-50522 Detail（未認証RCE・9.8）
• ▸NVD - CVE-2026-58644 Detail（未認証RCE・9.8）
• ▸Microsoft Security Response Center - CVE-2026-50522（公式・修正KB）
• ▸Microsoft Security Response Center - CVE-2026-58644（公式・修正KB）
• ▸NVD - CVE-2026-45659 Detail（5月分・悪用中）
• ▸Microsoft Security Response Center - CVE-2026-45659（公式・修正KB）
• ▸CISA - Known Exploited Vulnerabilities Catalog（KEV）
• ▸CISA - CVE-2026-58644等をKEVへ追加（2026年7月16日）
• ▸Rapid7 - CVE-2026-58644 実悪用の分析
• ▸Tenable - SharePoint脆弱性の悪用FAQ（32201／45659／56164）
• ▸関連記事：CISA KEV ダッシュボード（日本語版・当サイト）