SharePointの深刻なRCE脆弱性CVE-2026-50522、PoC公開後に実際のサイバー攻撃への悪用を確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月23日更新日時: 2026年07月23日

Microsoftは2026年7月14日、オンプレミス版のSharePoint Serverに存在する深刻なリモートコード実行(RCE)脆弱性CVE-2026-50522を修正しました。CVSSスコアは最大値に近い9.8(緊急)で、認証も利用者の操作も一切必要とせず、ネットワーク経由で攻撃者が任意のコードを実行できるものです。パッチ公開後の7月20日ごろには、この脆弱性を狙った実際の攻撃の試みが複数の研究者によって観測され、さらに動作する概念実証(PoC)コードも公開されました。とりわけ深刻なのは、攻撃者がこの脆弱性を悪用してSharePointサーバーのマシンキーを窃取し、パッチ適用後も認証トークンを偽造して持続的なアクセスを維持しようとしている点です。当サイトで既報の、2025年に大規模悪用された「ToolShell」(CVE-2025-53770)と同じ、デシリアライゼーションの不備とマシンキー窃取という手口の系譜にある脆弱性であり、オンプレミスのSharePointを運用する組織は速やかな対応が求められます。

サマリー

CVE-2026-50522は、オンプレミス版Microsoft SharePoint Serverに存在する、信頼できないデータのデシリアライゼーション(CWE-502)に起因するRCE脆弱性です
CVSS v3.1の基本値は9.8(緊急)で、攻撃元区分はネットワーク、攻撃の複雑さは低、必要な権限なし、利用者の操作なしという、最も悪用されやすい条件を満たしています
影響を受けるのは、SharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Editionのオンプレミス版です
Microsoftは2026年7月14日にこの脆弱性を修正しており、対象組織は速やかなパッチ適用が求められます
この脆弱性はPwn2Own Berlinで実証されたもので、Microsoftは発見者としてDEVCOREの研究者splitline氏をクレジットしています
パッチ公開後、セキュリティ企業DefusedやwatchTowrが、認証情報を伴わない不審なデシリアライゼーションのペイロードがSharePointのサインインエンドポイントに送られていることを観測し、CVE-2026-50522の悪用である可能性が高いと評価しました
watchTowrによれば、攻撃者はこの脆弱性を悪用してSharePointのマシンキーを単一のリクエストで窃取しており、パッチ適用後も有効な認証トークンを偽造して持続的にアクセスできる恐れがあります
動作するPoCコードが研究者Janggggg氏によって公開されており、今後さらに攻撃が拡大するとみられます

1 整理表
2 脆弱性の技術的な仕組み-デシリアライゼーションの不備
3 Pwn2Ownで実証された脆弱性-発見の経緯
4 悪用状況-PoC公開後に実際の攻撃を観測
5 対になる脆弱性CVE-2026-58644との関係
6 影響を受けるバージョンと対策
7 情報システム部門への示唆
8 出典

整理表

項目	内容
CVE番号	CVE-2026-50522
公開日	2026年7月14日(Microsoft)
CVSS基本値	9.8(緊急、CVSS v3.1)
脆弱性の種別	信頼できないデータのデシリアライゼーション(CWE-502)
影響	認証不要・利用者操作不要のリモートコード実行
攻撃元区分	ネットワーク(AV:N)、攻撃複雑さ低(AC:L)、権限不要(PR:N)、操作不要(UI:N)
影響を受ける製品	SharePoint Enterprise Server 2016、Server 2019、Subscription Edition(いずれもオンプレミス)
発見の経緯	Pwn2Own Berlinで実証、DEVCOREのsplitline氏が報告
修正版	16.0.5561.1001、16.0.10417.20175、16.0.19725.20434
悪用状況	PoC公開後に悪用の試みを観測(Defused、watchTowr)
特筆すべき手口	マシンキーの窃取によるパッチ後の持続的アクセス
対になる脆弱性	CVE-2026-58644(Site Owner権限が必要、Microsoftが悪用を確認)

脆弱性の技術的な仕組み-デシリアライゼーションの不備

CVE-2026-50522は、SharePointが信頼できないデータを安全でない形でデシリアライズ(逆シリアル化)してしまうことに起因するRCE脆弱性です。デシリアライゼーションとは、ネットワーク経由で受け取ったバイト列を、プログラム内部で扱えるオブジェクトへと復元する処理を指します。本来、サーバーは受け取ったデータが正当なものかを検証したうえで復元すべきですが、この脆弱性では、攻撃者が細工した悪意あるオブジェクトを、サーバーが拒否せずそのまま復元・実行してしまいます。この不適切な信頼が、攻撃者にサーバー上でのコード実行を許すことになります。

Microsoftの説明によれば、この脆弱性は認証されていない攻撃者がネットワーク経由でコードを実行できるものであり、利用者の操作も一切必要としません。CVSSベクトルは、ネットワーク経由で攻撃可能(AV:N)、攻撃の複雑さが低い(AC:L)、必要な権限がない(PR:N)、利用者の操作が不要(UI:N)という、脆弱性の中でも最も悪用されやすい条件を備えており、機密性・完全性・可用性のいずれにも重大な影響を及ぼしうるとされています。インターネットに公開されているSharePointファーム(サーバー群)が、最も高いリスクにさらされます。

なお、デシリアライゼーションの不備を突く攻撃はSharePointにおいて繰り返し確認されてきた脆弱性のパターンであり、防御側にとっても既知の攻撃類型です。当サイトで既報の2025年7月に大規模悪用されたToolShell(CVE-2025-53770)も、同じデシリアライゼーションとマシンキー窃取を組み合わせた攻撃チェーンでした。

Pwn2Ownで実証された脆弱性-発見の経緯

CVE-2026-50522は、著名なハッキングコンテストPwn2Own Berlinで実証された脆弱性です。Microsoftは、この脆弱性の発見者として、台湾のセキュリティ企業DEVCOREの研究者splitline氏をクレジットしています。Pwn2Ownは、研究者が実際に動作するエクスプロイトを実演して脆弱性をベンダーに報告する場であり、この脆弱性についても動作するエクスプロイトがMicrosoftに引き渡されていたことになります。

興味深いのは、Microsoftのアドバイザリが当初、この脆弱性のエクスプロイトの成熟度を不明(unknown)として掲載していた点です。実際には動作するエクスプロイトがPwnOwnの時点で存在していたにもかかわらず、公開時点では悪用の兆候が明示されていませんでした。しかし後述のとおり、パッチ公開からほどなくして実際の悪用が観測されることになります。

悪用状況-PoC公開後に実際の攻撃を観測

パッチ公開後、この脆弱性を狙った実際の攻撃活動が複数の研究者によって報告されています。

セキュリティ企業Defusedは、自社のハニーポット(おとりシステム)に、文書化されていないSharePointのデシリアライゼーションのベクトルが送られてくるのを観測しました。当初は正体不明の攻撃とされていましたが、Defusedはその後、これらのリクエストが認証情報を一切伴っていないことから、CVE-2026-50522の悪用である可能性が高いと評価を更新しました。同じ7月の攻撃で修正されたもう一つの脆弱性CVE-2026-58644は、悪用にSite Owner権限を必要とするため、認証情報を伴わない今回の攻撃トラフィックとは一致せず、認証不要で悪用できるCVE-2026-50522のプロファイルに合致するというのがその根拠です。セキュリティ企業watchTowrもこの悪用を確認しています。

さらに深刻なのが、watchTowrが報告した攻撃の具体的な手口です。watchTowrによれば、攻撃者はこの脆弱性を悪用して、SharePointサーバーのマシンキーを単一のリクエストで窃取していました。マシンキーは、SharePointが認証トークンなどを暗号化・署名するために用いる重要な秘密鍵です。これを窃取した攻撃者は、有効な認証トークンを偽造して正規の利用者になりすまし、SharePointのサイトやドキュメントにアクセスできるようになります。決定的に問題なのは、いったんマシンキーが盗まれると、サーバーにパッチを適用しただけでは攻撃者のアクセスを排除できないという点です。パッチは脆弱性そのものを塞ぎますが、すでに盗まれたマシンキーは有効なままであり、攻撃者は偽造したトークンを使って持続的にアクセスを維持できてしまいます。これは、当サイトで既報のToolShell攻撃でも見られた、マシンキー窃取による永続化という致命的な手口と同じ構図です。

加えて、研究者のJanggggg氏が動作するPoCコードを公開しており、これにより攻撃のハードルが大きく下がりました。PoCが公開されたことで、今後この脆弱性を悪用した攻撃がさらに増加するとみられます。なお、この脆弱性は情報公開の時点では、まだ米CISAの悪用が確認された脆弱性(KEV)カタログには登録されていませんでした。

対になる脆弱性CVE-2026-58644との関係

今回の2026年7月の同じパッチサイクルでは、CVE-2026-50522と対になる形で、もう一つのデシリアライゼーション脆弱性CVE-2026-58644も修正されています。両者はいずれもCVSS 9.8の深刻な脆弱性ですが、悪用の条件が異なります。

CVE-2026-58644は、悪用に少なくともSite Owner権限を持つ攻撃者が必要とされる点で、完全に認証不要で悪用できるCVE-2026-50522とは区別されます。Microsoftは、このCVE-2026-58644についてはすでに実際の悪用を確認していると説明しています。一方で、認証を伴わない今回観測された攻撃トラフィックは、Site Owner権限を必要とするCVE-2026-58644ではなく、認証不要のCVE-2026-50522の悪用である可能性が高いと分析されています。いずれにせよ、同じパッチで修正された2つの深刻なRCE脆弱性が、それぞれ異なる形で悪用のリスクにさらされているため、対象組織は両方への対応が必要です。

影響を受けるバージョンと対策

Microsoftは、影響を受ける製品としてオンプレミス版のSharePoint Serverを挙げています。

具体的には、SharePoint Enterprise Server 2016、SharePoint Server 2019、そしてSharePoint Server Subscription Editionが対象です。2016年版の修正は、ServerとEnterprise Serverの両方のビルドに適用される点にも注意が必要です。

対策として最も重要なのは、2026年7月のSharePointセキュリティ更新プログラムを直ちに適用することです。修正版のビルド番号は、16.0.5561.1001、16.0.10417.20175、16.0.19725.20434です。Windows Update、WSUS、あるいはMicrosoft Update Catalogからの手動インストールを通じて、ファーム内のすべてのサーバーに更新を適用する必要があります。

すぐにパッチを適用できない場合の緩和策として、ファームへの外部からのアクセスを制限すること、SharePointのサインインページへの不審なリクエストがないかログを精査すること、そしてSharePointサーバーをネットワーク的に分離して、万が一侵害された場合の影響範囲を限定することが挙げられます。また、SharePoint Server 2016・2019では、AMSI(アンチマルウェア・スキャン・インターフェース)統合を有効化することで、悪意あるペイロードを検知・遮断できる可能性があります。

情報システム部門への示唆

CVE-2026-50522への対応で、情報システム部門が特に留意すべき点は、パッチ適用だけでは不十分な可能性があるという点です。

前述のとおり、この脆弱性はマシンキーの窃取に悪用されており、いったんマシンキーが盗まれると、パッチを適用しても攻撃者が偽造したトークンによる持続的なアクセスを排除できません。したがって、インターネットに公開しているSharePointサーバーがこの脆弱性の影響を受ける場合は、パッチ適用に加えて、マシンキーのローテーション(再生成)を実施することが極めて重要です。これは、当サイトで既報の2025年のToolShell攻撃(CVE-2025-53770)の教訓とまったく同じであり、SharePointのデシリアライゼーション脆弱性への対応では、パッチ適用・マシンキー再生成・痕跡調査・外部公開の最小化をワンセットで行うことが、事実上の標準的な対応手順になりつつあります。

あわせて、すでに侵害を受けていないかを確認するための痕跡調査も重要です。SharePointのサインインページへの認証情報を伴わない不審なリクエスト、身に覚えのないWebシェルの設置、マシンキーへのアクセスの痕跡などがないか、ログを精査してください。今回の脆弱性は認証不要で悪用でき、かつPoCが公開されている以上、インターネットに公開されているオンプレミスのSharePointサーバーは、すでに攻撃の標的になっている前提で対応にあたることが賢明です。オンプレミスのSharePointは、社内の文書管理やイントラネットの基盤として広く使われており、侵害されれば認証情報の窃取や、連携するMicrosoft 365・Active Directory環境への横展開の起点にもなりかねません。優先度の高い緊急対応として、速やかな対処が求められます。