SharePointにログイン不要で乗っ取り CVE-2026-50522ほか即更新を

企業の社内ポータルや文書共有に広く使われるMicrosoftの「SharePoint Server（シェアポイント サーバー）」に、2026年7月の月例更新（Patch Tuesday）で、ログイン不要でサーバーを乗っ取られる脆弱性が新たに2件公表されました。CVE-2026-50522とCVE-2026-58644で、危険度はどちらも10点満点中9.8点（重要度「緊急」）です。事前のログインも利用者の操作もいらず、ネットワーク越しに直接悪用され得るため、5月に見つかった同種の穴よりも一段危険です。

SharePoint Serverでは、この直前の2026年5月にも乗っ取りの脆弱性CVE-2026-45659（危険度8.8）が見つかり、その後この穴を狙う実際の攻撃が確認され、米政府機関CISAが「悪用中の脆弱性リスト（KEV）」に追加しています。同じ「データの復元処理」を突く乗っ取りが、数か月のあいだに立て続けに出ている状況です。対象はいずれも自社で運用するオンプレミス版のSharePoint Server（2016／2019／サブスクリプション版）で、クラウド版のSharePoint Online（Microsoft 365）は影響を受けません。修正はすでに配布されています。オンプレミス版を運用しているなら、7月の更新を今すぐ適用してください。

【続報 2026年7月23日】CVE-2026-50522も実際の悪用を確認、CISA KEVに追加

これまで「悪用の報告なし」としていた未認証リモートコード実行の脆弱性 CVE-2026-50522（危険度9.8）について、状況が大きく変わりました。2026年7月20日に実証コード（PoC）が公開された直後から、これを悪用する試みが実際に観測され、米政府機関CISAも実際に攻撃されている脆弱性のリスト（KEV）に追加しました。これで、7月に公表された2件（CVE-2026-50522・CVE-2026-58644）はいずれも実悪用が確認されたことになります。

特に警戒すべきは、攻撃者が侵入後に「マシンキー」（SharePointが内部で使う暗号鍵）を盗み出している点です。マシンキーを奪われると、修正を適用した後でも正規の認証情報を偽造され、侵入を維持される恐れがあります。そのため、対処は「更新するだけ」では不十分です。パッチ適用後にマシンキーを入れ替える（ローテーションする）ところまで行ってください。あわせて、インターネットに公開しているオンプレミス版SharePoint Serverでは、不審なWebシェルの設置や見慣れない通信がないかの点検を強く推奨します。

【続報 2026年7月21日】未認証RCEのCVE-2026-58644、実際の悪用を確認しCISA KEVにも追加

オンプレミス版SharePoint Serverの未認証リモートコード実行の脆弱性CVE-2026-58644（危険度9.8）について、Microsoftは2026年7月15日にアドバイザリを更新し、悪用状況を「Exploitation Detected（実際の悪用を確認）」へ引き上げました。公開当初は悪用未確認の扱いでしたが、翌日に実悪用ありへ格上げされた形です。さらに米政府機関CISAも、2026年7月16日にCVE-2026-58644を「悪用中の脆弱性リスト（KEV）」へ追加し、連邦機関に期限付きの対応を求めました。ログイン不要・利用者操作なしで、細工したデータを送るだけでサーバー上で不正なプログラムを実行される恐れがあります。

対象はSharePoint Server 2016／2019／サブスクリプション版で、クラウドのSharePoint Onlineは対象外です。修正は2026年7月14日公開の月例更新（各バージョンの修正ビルド以降）で提供されています。まだ適用していないサーバーは今すぐ更新してください。すでに攻撃が観測されているため、更新の先送りは危険です。過去の悪用事例は攻撃中の脆弱性カタログ（KEV）でも継続的に追跡されています。

2026年7月に見つかった2件、ログイン不要でサーバーを乗っ取れる

まず、今いちばん優先すべき最新の2件から見ていきます。どちらも仕組みは同じで、SharePointが受け取ったデータを無防備に「復元」してしまう点を突きます（詳しい仕組みは後述します）。5月の脆弱性との決定的な違いは、悪用に一切のログインが要らないことです。危険度の内訳でも「事前の権限なし（PR:N）」「利用者の操作なし（UI:N）」「ネットワーク経由（AV:N）」と評価され、満点に近い9.8点がついています。インターネットや社内ネットワークからSharePointに届く経路さえあれば、アカウントを一つも持たない攻撃者が直接狙えます。

CVE-2026-50522: 未認証でコードを実行される（危険度9.8）

Microsoftの説明は「Microsoft Office SharePointにおける信頼できないデータの復元により、認証されていない攻撃者がネットワーク経由でコードを実行できる」というものです。修正済みビルドは、SharePoint 2016が16.0.5561.1001以降、2019が16.0.10417.20175以降、サブスクリプション版が16.0.19725.20434以降です。今回の3件のうち最も新しい（＝最も高い）ビルドで直るため、このビルド以上に更新すれば5月・7月の3件すべてが解消します。

CVE-2026-58644: 同じ仕組みで未認証の乗っ取り（危険度9.8）

もう1件のCVE-2026-58644も、同じ「信頼できないデータの復元」（CWE-502）による未認証のコード実行です。説明文・危険度（9.8）・悪用条件（ログイン不要・操作不要・ネットワーク経由）はCVE-2026-50522とそろっています。修正済みビルドは、SharePoint 2016が16.0.5556.1005以降、2019が16.0.10417.20153以降、サブスクリプション版が16.0.19725.20384以降です。上のCVE-2026-50522の修正ビルドを当てれば、こちらも同時にふさがります。

どの版にどの更新プログラム（KB）を当てるかは、各CVEのMicrosoft公式ページで確認できます。迷ったら「自社の版で、上の表のCVE-2026-50522のビルド以上になっているか」を基準にすれば、5月・7月の3件すべてを一度に満たせます。

この7月の更新は、上の2件の乗っ取りだけを直すものではありません。ログイン不要でSharePointの本人確認を回避されるおそれのある穴（CVE-2026-55040・危険度9.1）や、のちに実際の攻撃が確認された権限昇格の穴（CVE-2026-56164）も、同じ更新で同時にふさがります。修正ビルドはいずれも上の表と同じなので、7月分まで上げれば関連するSharePointの穴をまとめて解消できます。

誰が、何のために狙うのか

今回の7月の2件で警戒すべきは、SharePointに通信が届く場所から、アカウントを一つも持たずに侵入を試みる外部の攻撃者です。ログインが要らないため、インターネットに公開されたSharePointはもちろん、社内ネットワークに一歩入り込んだ相手からも直接狙われます。5月のCVE-2026-45659は「低い権限でもログインが必要」という条件でしたが、7月の2件はその条件すら外れており、狙える相手の範囲が大きく広がっています。

攻撃者ができてしまうのは、細工したデータをSharePointに送り込み、サーバー上で自分のプログラムを実行してサーバーごと乗っ取ることです。文書を読み書きするだけの窓口だったはずのSharePointが、そのまま社内サーバーの支配権に変わります。

SharePointサーバーを乗っ取られると、被害は文書だけでは終わりません。社内の機密文書や個人情報、SharePointが連携する他システムへの接続情報が抜き取られ、そこを足がかりに社内ネットワークの奥深くへ侵入されます。実際、オンプレミス版のSharePointは近年ランサムウェア攻撃の主要な侵入口になっており、乗っ取りは組織全体の被害に直結します。だからこそ、後述する更新を最優先で進める必要があります。

SharePoint Serverとは何か、クラウド版との違い

SharePointは、社内の文書共有、ポータルサイト、業務アプリの土台として使われるMicrosoftの製品です。ファイルの保管・共有、申請フローやチームサイトの構築などに使われ、多くの企業や官公庁が導入しています。

ここで重要なのが、SharePointには大きく2種類ある点です。自社のサーバーに設置して運用する「SharePoint Server（オンプレミス版）」と、Microsoftのクラウド上で使う「SharePoint Online（Microsoft 365に含まれる）」です。今回の3件（CVE-2026-50522／58644／45659）が影響するのはいずれも前者のオンプレミス版だけで、クラウドのSharePoint Onlineは対象外です。自社でSharePointのサーバーを立てて運用しているか、それともMicrosoft 365経由でクラウドを使っているかで、対応の要否が分かれます。まずは自分の組織がどちらかを確認してください。

オンプレミス版のSharePointは、更新を管理者が自分で適用しなければならず、しかも業務の中心にあるため止めにくく、パッチの適用が後回しになりがちです。この「更新の遅れやすさ」が、攻撃者に狙われ続ける大きな理由になっています。

何が起きるのか、3件に共通する仕組み

今回の3件はいずれも、SharePointが受け取ったデータを無防備に「復元」してしまう点が原因です。プログラムの世界では、データを保存・送信するためにいったん固めた形から元の形に戻す処理（デシリアライズ）がよく使われます。この戻す処理に、送られてきた中身を信用しすぎる実装があると、攻撃者が細工したデータを使って任意のプログラムを実行できてしまいます。今回突かれたのは、この「信頼できないデータの復元」（CWE-502）です。

攻撃者は、細工したデータをSharePointに送り込み、サーバー側がそれを復元する瞬間に、自分の用意したプログラムを走らせます。実行はSharePointサービスの権限で行われるため、そのサーバーが扱う文書やデータ、連携先の認証情報まで攻撃者の手が届きます。違いは「入口の条件」だけです。7月のCVE-2026-50522とCVE-2026-58644はログインが一切要らず（未認証・9.8）、5月のCVE-2026-45659は低い権限のログインが必要（8.8）という差になります。

なお、5月のCVE-2026-45659については、一部の報道が「認証不要でCVSS 9.8」と伝えていましたが、これは正確ではありません。NVD（米国立標準技術研究所の脆弱性データベース）の評価はCVSS 8.8で、悪用には低権限のログインが必要です。一方で、7月に公表された2件は評価そのものが未認証・9.8です。番号ごとに条件が違うため、混同しないようにしてください。

すでに悪用が始まっているのはどれか

危険度の数字と同じくらい大事なのが、「実際に攻撃が起きているか」です。ここは3件で状況が分かれます。

5月のCVE-2026-45659は、すでに悪用が確認されています。Microsoftは5月の月例更新で修正を公開しましたが、その後この穴を突く攻撃が観測され、米政府機関CISAが「実際に攻撃されている脆弱性リスト（KEV）」へ追加しました。KEVは、攻撃が現実に起きていると確認されたものだけが載るリストです。日本語で追える悪用状況はCISA KEV ダッシュボード（日本語版）にまとめています。

乗っ取りに直結する7月の2件のうち、CVE-2026-58644はすでに実際の悪用が確認されています。Microsoftは2026年7月15日に悪用状況を「Exploitation Detected（実際の悪用を確認）」へ引き上げ、CISAも翌16日にこれをKEVへ追加しました。もう1件のCVE-2026-50522についても、2026年7月20日のPoC公開直後から実際の悪用が観測され、CISA KEVに追加されました（詳しくは冒頭の続報を参照）。ログイン不要で悪用のハードルが低いうえ、攻撃者はマシンキーを盗んでパッチ適用後も侵入を維持しようとするため、更新に加えてマシンキーのローテーションまで行う必要があります。

さらに、7月の更新に含まれる別のSharePointの穴、CVE-2026-56164が、CISAのKEV（実際に攻撃されている脆弱性リスト）に追加されました。この穴自体は権限の昇格につながるもので、Microsoftの評価は5.3ですが、NVD（米国立標準技術研究所）は9.8（緊急）と評価しており、数字の受け止めは割れています。いずれにせよ重要なのは、攻撃者がいま現にSharePointを狙って動いているという事実です。乗っ取りに直結する9.8の2件や、未認証で認証を回避されるCVE-2026-55040とあわせて考えれば、7月の更新を当てる緊急度はさらに上がっています。「まだ乗っ取りの報告がない」を「対応しなくてよい」と読み替えるのは危険で、悪用が広がる前の今こそ当てておくべきタイミングです。

自分の組織は対象か、対応の早見表

まず、自社でSharePointのサーバーを運用しているか（オンプレミス版か）を確認してください。Microsoft 365経由のSharePoint Onlineだけを使っているなら、この3件の対応は不要です。オンプレミス版なら、下の「安全になるビルド」以上に上がっているかを確認します。7月分（CVE-2026-50522）のビルドまで上げれば、5月分も含めて3件すべてが解消します。

修正は月例更新に含まれており、Microsoftは各版向けの更新プログラム（KB）を配布しています。どの版にどのKBを当てるかは、各CVEのMicrosoft公式ページで確認してください。自社のビルド番号は、SharePoint管理センターの「サーバーの全体管理」やPowerShellで確認できます。

背景、なぜオンプレSharePointは狙われ続けるのか

数か月のあいだに同じ種類の乗っ取りが3件も出たことからわかるように、これは単発の事故ではありません。オンプレミス版のSharePointは、「信頼できないデータの復元」による乗っ取り（CWE-502）が繰り返し見つかり、実際に大規模な攻撃に使われてきた製品です。2025年には「ToolShell」と呼ばれる一連のSharePoint脆弱性が世界中で大量に悪用され、多数の組織のサーバーが乗っ取られました。今回の3件も、同じ「復元処理の穴」という系譜に連なります。

なぜ繰り返されるのか。背景には2つの構造があります。ひとつは技術面で、SharePointが内部で多用する「データの復元処理」が、細工された入力に対して弱点になりやすいこと。もうひとつは運用面で、オンプレミス版は更新を各組織が手作業で適用する必要があり、業務停止を避けたい事情からパッチが遅れがちなことです。攻撃者から見れば、社内の中枢に置かれ、価値の高い文書が集まり、しかも更新が遅れやすいSharePointは、費用対効果の高い標的です。

実務的な結論はシンプルです。オンプレミス版SharePointは「いつ狙われてもおかしくない資産」として扱い、月例更新を遅滞なく適用する体制を作ること。そして長期的には、更新をMicrosoftが担うクラウド版（SharePoint Online）への移行も、選択肢として検討する価値があります。

いま何をすべきか

最優先は、オンプレミス版SharePointに2026年7月の月例更新（該当KB）を適用することです。7月分まで上げれば、5月に悪用が始まったCVE-2026-45659も含めて3件がまとめて直ります。すでに悪用中の穴が残っている以上、検証を理由に先送りにする余裕はありません。可能な限り早く、対象サーバーすべてに適用してください。

更新に加えて、次の点も確認しておくと安全です。まず、SharePointサーバーのアンチマルウェア連携（AMSI）が有効になっているかを確認すること。Microsoftは復元処理を悪用する攻撃への防御としてAMSIの有効化を推奨しています。次に、SharePointを外部に公開している場合は、本当に公開が必要かを見直し、社内や許可した相手だけに絞ること。今回の7月の2件はログイン不要で悪用できるため、届く範囲を狭めるだけで被害の芽を大きく減らせます。最後に、すでに侵入されていないかの点検です。見慣れないファイル（特にaspxなどのWebページ部品）、身に覚えのない管理者アカウントやプロセス、不審な通信がないかを確認し、疑わしければ認証情報の入れ替えと詳しい調査を行ってください。

まとめ

2026年7月、オンプレミス版のSharePoint Serverに、ログイン不要でサーバーを乗っ取れる脆弱性が2件（CVE-2026-50522／CVE-2026-58644、いずれも危険度9.8）公表されました。5月に見つかり、すでに悪用が確認されているCVE-2026-45659（8.8、CISA KEV登録済み）と同じ「データの復元処理」を突く系統で、7月の2件は悪用にログインすら要らないぶん一段危険です。しかも7月のCVE-2026-58644は公開直後に実際の悪用が確認され、CISA KEVにも追加されました。対象は2016／2019／サブスクリプション版で、クラウドのSharePoint Onlineは影響を受けません。

オンプレミス版SharePointは、復元処理の穴による乗っ取りが繰り返され、更新の遅れを突かれ続けてきた製品です。「修正は出ているが未適用」の状態こそが最大のリスクです。まずは自社がオンプレミス版を使っているかを確認し、使っているなら7月の月例更新を今すぐ適用してください。7月分まで上げれば3件がまとめて解消します。あわせて、外部公開の見直しと、すでに侵入されていないかの点検も忘れずに。

参照元

• ▸NVD - CVE-2026-50522 Detail（未認証RCE・9.8）
• ▸NVD - CVE-2026-58644 Detail（未認証RCE・9.8）
• ▸Microsoft Security Response Center - CVE-2026-50522（公式・修正KB）
• ▸Microsoft Security Response Center - CVE-2026-58644（公式・修正KB）
• ▸NVD - CVE-2026-45659 Detail（5月分・悪用中）
• ▸Microsoft Security Response Center - CVE-2026-45659（公式・修正KB）
• ▸CISA - Known Exploited Vulnerabilities Catalog（KEV）
• ▸CISA - CVE-2026-58644等をKEVへ追加（2026年7月16日）
• ▸Rapid7 - CVE-2026-58644 実悪用の分析
• ▸Tenable - SharePoint脆弱性の悪用FAQ（32201／45659／56164）
• ▸関連記事：CISA KEV ダッシュボード（日本語版・当サイト）