Microsoft SharePointの脆弱性を狙う活動-CVE-2026-55040はKEV掲載、CVE-2026-63520の技術詳細も公開|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月27日更新日時: 2026年08月27日

Microsoft SharePoint Serverの2件の脆弱性、CVE-2026-55040とCVE-2026-63520を組み合わせたリモートコード実行（RCE）チェーンを狙う探索活動が観測されています。

CVE-2026-55040は認証を回避できる脆弱性で、CVE-2026-63520はSharePointのBusiness Data Connectivity（BDC）機能に存在するRCE脆弱性です。Rapid7は、この2件を組み合わせることで、認証なしの攻撃者が脆弱なSharePoint Server上でコードを実行できることを確認しています。

一方、実悪用状況は分けて見る必要があります。CVE-2026-55040はCISAのKnown Exploited Vulnerabilities（KEV）Catalogに2026年8月18日付で追加され、実際の悪用が確認されています。これに対し、CVE-2026-63520は記事執筆時点でCISA KEVには掲載されていません。

ハニーポット運営企業Defusedは8月25日、CVE-2026-55040によるJWT認証回避の後、CVE-2026-63520に関係するBusiness Data Catalogを探索する通信を観測したと報告しました。ただし、同社はコード実行そのものは観測していないとしています。

SharePoint RCEチェーンのサマリー

【確認済み】Microsoftは2026年8月11日、SharePoint ServerのRCE脆弱性CVE-2026-63520を修正しました。
【確認済み】CVE-2026-63520のCVSS v3.1は8.1（High）です。
【確認済み】対象はSharePoint Server 2016、SharePoint Server 2019、SharePoint Server Subscription Editionです。
【確認済み】CVE-2026-55040はSharePoint Serverの認証回避脆弱性で、CVSS v3.1は9.1（Critical）です。
【確認済み】Rapid7はCVE-2026-55040とCVE-2026-63520を組み合わせ、認証不要のRCEチェーンを成立させています。
【確認済み】CVE-2026-55040のPoCスクリプトはRapid7研究者により公開されています。
【確認済み】CVE-2026-55040は2026年8月18日にCISA KEVへ追加されました。
【未確認】CVE-2026-63520について、CISA KEVへの掲載は記事執筆時点で確認できませんでした。
【確認済み】VulnCheckとRapid7は8月24日以降、CVE-2026-63520の詳細な技術分析を公開しています。
【確認済み】Defusedは8月25日、2件を組み合わせたRCEチェーンを狙う探索をハニーポットで観測しました。
【未確認】DefusedはCVE-2026-63520によるコード実行そのものは観測していないと明記しています。
【確認済み】Microsoftの8月更新では、ファイルベースのBDCモデルのインポートがデフォルトで無効化される防御強化も行われています。

項目	CVE-2026-55040	CVE-2026-63520
脆弱性	認証回避	リモートコード実行
CWE	CWE-1390 Weak Authentication	CWE-20 Improper Input Validation
CVSS v3.1	9.1 Critical	8.1 High
公表日	2026年7月14日	2026年8月11日
PoC・技術情報	Rapid7がPoCを公開	Rapid7、VulnCheckが詳細な技術分析を公開
実悪用	確認済み	コード実行の実悪用は確認できず
CISA KEV	2026年8月18日掲載	記事執筆時点で掲載確認できず
組み合わせ時の影響	2件を組み合わせることで認証不要RCE	2件を組み合わせることで認証不要RCE
対応	最新のSharePoint更新を適用	2026年8月のSharePoint更新を適用

CVE-2026-63520はSharePointのBDC機能に存在するRCE脆弱性

Microsoftは8月11日、CVE-2026-63520を「Microsoft SharePoint Server Remote Code Execution Vulnerability」として公開しました。

MicrosoftがCVEレコードへ登録した情報では、原因は不適切な入力検証（CWE-20）で、ネットワーク経由でコード実行につながる可能性があります。CVSS v3.1は8.1で、評価はHighです。

Rapid7の分析では、問題はSharePointのBusiness Data Connectivity（BDC）サブシステムにあります。BDCはSharePointからデータベースや外部システムを利用するための機能です。

Rapid7によると、脆弱な実装ではBDCモデルから指定された.NET型に対する制限が不十分で、攻撃者が危険な型を生成し、その動作を悪用することでOS上のコード実行につなげられる状態でした。

本記事では悪用可能なリクエストやコードは掲載しませんが、Rapid7とVulnCheckはいずれも、脆弱性を再現するための詳細な技術情報を公開しています。

CVE-2026-55040との組み合わせで認証不要RCEが成立

CVE-2026-63520だけを見るのではなく、7月に修正されたCVE-2026-55040との組み合わせが重要です。

CVE-2026-55040はSharePoint ServerのJWT検証処理に関する認証回避脆弱性です。Microsoftの現在の評価ではCVSS v3.1は9.1、Criticalとなっています。

Rapid7は2026年5月に、この2件を組み合わせた攻撃チェーンをMicrosoftへ報告しました。Microsoftは認証回避側のCVE-2026-55040を7月、RCE側のCVE-2026-63520を8月の更新で修正しています。

Rapid7によると、CVE-2026-55040を悪用すると、認証されていない攻撃者がSharePointユーザーや管理者として処理を実行できる可能性があります。そこからCVE-2026-63520を利用することで、SharePointサイトのサービスアカウント権限でコードを実行できるチェーンになります。

したがって、7月の認証回避修正だけでなく、8月のCVE-2026-63520の修正まで適用されているかを確認する必要があります。

CVE-2026-55040はCISA KEV掲載、実悪用が確認済み

CISAは8月18日、CVE-2026-55040をKnown Exploited Vulnerabilities Catalogへ追加しました。

CISA KEVへの掲載は、実際の攻撃で悪用された根拠がある脆弱性としてCISAが扱っていることを意味します。CISAは米連邦政府機関に対して、ベンダーの指示に従った緩和策や更新を実施するよう求めています。

CVE-2026-55040については、Rapid7がPoCを公開した後、複数のハニーポットで攻撃通信が観測されました。

一方、CVE-2026-63520は記事執筆時点でCISA KEVには掲載されていません。NVD上のCISA-ADP情報でも、CVE-2026-63520のExploitationは「none」とされています。

このため、「CVE-2026-63520が実際の攻撃で悪用済み」と断定することはできません。

8月25日、RCEチェーンを狙う探索をハニーポットで観測

状況が変化したのが8月25日です。

Defusedは、SharePointのハニーポットでCVE-2026-55040とCVE-2026-63520を組み合わせたRCEチェーンを狙う探索を観測したと報告しました。

同社によると、最初にCVE-2026-55040を利用したJWT認証回避が試され、その後、管理者アカウントに関する探索や、CVE-2026-63520の対象となるBusiness Data Catalogへのプロービングが続きました。

ただしDefusedは「No code execution observed yet」としており、CVE-2026-63520によるコード実行そのものは確認していません。

これは重要な区別です。

現時点で確認されているのは、

CVE-2026-55040の実悪用
CVE-2026-55040とCVE-2026-63520を組み合わせることを意識した探索
CVE-2026-63520の詳細な技術情報の公開

までです。

CVE-2026-63520によるRCE成功や、実際の侵害が確認されたという一次情報は確認できませんでした。

「PoC公開」の範囲にも注意が必要

元となった二次記事ではPoCが公開されたとされていますが、こちらもCVEごとに分ける必要があります。

CVE-2026-55040については、Rapid7のStephen Fewer氏がGitHubでPoCスクリプトを公開しています。

一方、CVE-2026-63520について、VulnCheckは8月21日時点で「フルチェーンのexploitは公開されていない」と説明していました。

その後、VulnCheckは8月24日に攻撃チェーンの詳細な技術分析を公開し、Rapid7もCVE-2026-63520について詳細な解析と再現手順を公開しました。

したがって、「フルチェーンの完成済みPoCが一般公開されている」と断定するより、「認証回避側のPoCは公開済みで、RCE側についても再現可能な詳細情報が公開された」と表現する方が正確です。

攻撃者が公開情報を組み合わせて実装できる可能性が高まっているため、防御側から見たリスクは上昇しています。

影響を受けるSharePoint Serverと修正版

MicrosoftのCVE情報では、CVE-2026-63520の影響を受けるバージョンは以下の通りです。

製品	影響を受けるバージョン	2026年8月更新
SharePoint Server 2016	16.0.5565.1001未満	KB5002905／KB5002906
SharePoint Server 2019	16.0.10417.20198未満	KB5002894
SharePoint Server Subscription Edition	16.0.19725.20522未満	KB5002893

MicrosoftのSharePoint更新履歴では、SharePoint Server 2016の2026年8月更新KB5002905とKB5002906を16.0.5565.1001として掲載しています。

SharePoint Server 2016では、言語非依存のSTS更新と、言語依存のWSSLOC更新の両方が提供される月があります。Microsoftは、ファームを完全に更新するには両方の更新が必要だと説明しています。

SharePoint Server 2019とSubscription Editionについても、Microsoftが公開する8月のセキュリティ更新をファーム全体へ適用する必要があります。

MicrosoftはBDCモデルのファイルインポートもデフォルト無効化

8月のSharePoint更新では、CVE修正に加えてBDC周辺の防御強化も行われています。

MicrosoftはSharePoint Server 2016、2019、Subscription Editionで、ファイルベースのBusiness Data Connectivityモデルのインポートをデフォルトで無効化すると説明しています。

CVE-2026-63520はBDCモデルを利用する攻撃経路に関連するため、この変更は重要です。

業務上BDCモデルのファイルインポートが必要な組織では、更新後の動作確認が必要ですが、必要性を確認せずに機能を再有効化することは避けるべきです。

情報システム部門への示唆

オンプレミスのSharePoint Serverを運用している組織は、まず2026年8月の更新が全サーバーへ適用されているかを確認する必要があります。

CVE-2026-55040についてはすでに実悪用が確認され、CISA KEVにも掲載されています。さらにCVE-2026-63520の技術詳細が公開され、ハニーポットでは2件を組み合わせた攻撃を意識した探索が始まっています。

そのため、単に「CVE-2026-63520はまだKEV未掲載」として対応を遅らせるべき状況ではありません。

特にインターネットから直接アクセスできるSharePoint Serverでは、更新状況だけでなく、7月中旬以降のアクセスログや認証履歴についても確認する必要があります。CVE-2026-55040はすでに実悪用されているため、未修正期間があったサーバーでは、パッチ適用だけで調査を終了せず、不審な認証回避や管理操作がなかったかを確認することが重要です。

また、SharePointファームでは「Windows Updateが成功した」ことだけではなく、ファーム内のすべてのサーバーが必要なSharePoint更新レベルへ揃っていることを確認してください。

BDCを業務利用している場合は、8月更新によるファイルベースBDCモデルのデフォルト無効化の影響も確認します。ただし、互換性上の理由だけで安易に旧挙動へ戻すのではなく、利用範囲と必要性を確認したうえで判断する必要があります。

今回の事案は、単体では認証回避とRCEとして別々に管理される脆弱性でも、チェーン化によって認証不要のサーバー侵害へ発展することを示しています。脆弱性管理ではCVSSやKEVの有無だけでなく、公開済みの攻撃チェーンや前提条件の組み合わせまで含めて優先順位を判断する必要があります。