Microsoft SharePoint Serverに重大な脆弱性「CVE-2026-45659」が判明、CISAが悪用を確認し対策を警告
要点
- Microsoft SharePoint Serverにおいて、認証された攻撃者がネットワーク経由で任意のコードを実行できる脆弱性が判明した。
- 本脆弱性は「信頼できないデータのデシリアライズ」に起因し、MicrosoftによるCVSS 3.1スコアは「8.8」（HIGH）と評価されている。
- 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性が実際の攻撃で悪用されている事実を確認した。
- 影響を受ける対象はSharePoint Server 2016、2019、およびSubscription Editionの特定バージョンである。
リード文
Microsoft SharePoint Serverに重大な脆弱性「CVE-2026-45659」が存在し、実際のサイバー攻撃で悪用されていることが判明した。米サイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間2026年7月1日、本脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加して警告を発した。認証された攻撃者がネットワーク経由で任意のコードを実行できる恐れがあり、迅速な対策適用が必要とされている。
脆弱性の詳細と深刻度
今回判明した「CVE-2026-45659」は、Microsoft SharePoint Serverにおける「信頼できないデータのデシリアライズ（CWE-502）」の脆弱性である。デシリアライズとは、送信などのために変換されたデータを元のプログラム形式に復元する処理を指す。この過程で検証されていないデータを受け入れることで、意図しない動作が引き起こされる。
本脆弱性が悪用されると、システムへの認証を得ている攻撃者がネットワークを介して任意のコードを実行できる。実行に高い管理者権限は不要で、一般ユーザーの操作も介在しない。
深刻度について、Microsoftは脆弱性評価システム「CVSS v3.1」のスコアを「8.8」（HIGH）と評価している。評価内訳（ベクター）では、ネットワーク経由で攻撃可能（AV:N）、難易度が低い（AC:L）、低い権限で実行可能（PR:L）、ユーザーの関与が不要（UI:N）となっており、システム全体に重大な影響を及ぼすとされている。
影響を受けるソフトウェア環境
本脆弱性は、以下の64ビットシステム向けの製品およびバージョン構成において影響を及ぼすことが確認されている。
- Microsoft SharePoint Enterprise Server 2016：バージョン16.0.0以上16.0.5552.1002未満
- Microsoft SharePoint Server 2019：バージョン16.0.0以上16.0.10417.20128未満
- Microsoft SharePoint Server Subscription Edition：バージョン16.0.0以上16.0.19725.20280未満
これらのバージョンを使用している環境は脆弱性を含む対象となるため、速やかな対応が必要とされる。
タイムラインと悪用確認の経緯
公開された履歴によると、本脆弱性の対応は次のように推移している。
2026年5月27日に初期分析が登録され、6月17日にMicrosoftが詳細なバージョン情報を追加した。同日、CISAの調整機関であるCISA-ADPは評価基準（SSVC）で悪用ステータスを「なし（none）」と評価していた。
しかし、7月1日にCISA-ADPは悪用ステータスを「アクティブ（active）」へ変更した。実際の悪用が確認されたためで、同日にCISAは本脆弱性をKEVカタログに追加し、対応義務を課した。翌7月2日にはNISTによる参照情報の更新も行われている。
求められる対策アクション
CISAはKEVカタログ追加に伴い、2026年7月4日を期限とする緊急対応を要請した。これは登録からわずか3日間という厳しい期日である。
具体的な対応は、ベンダーの指示による緩和策の適用、リスクベースの更新指針「BOD 26-04」への準拠、および「フォレンジック・トリアージ要件（被害データを迅速に収集・分析する手順）」の遵守である。
クラウドサービスでもBOD 26-04に従う必要があり、緩和策がなければ製品の使用を停止しなければならない。管理者は資産のインターネット露出状況を評価し、パッチ適用ガイドラインを遵守する責任がある。
補足
本要請は連邦行政機関を対象とした「BOD 22-01」に基づくものだが、本製品は民間企業や多くの組織でも広く導入されている。そのため、対象機関以外であっても、同様の警戒レベルでシステム監査やパッチ適用を進めることが推奨される。