Microsoft SharePoint Serverに重大な脆弱性「CVE-2026-56164」が発覚、米CISAが「悪用済みリスト」に追加し緊急の対策を要請

要点

• Microsoft SharePoint Serverにおいて、認証なしで重要な機能が実行され権限昇格が可能になる脆弱性「CVE-2026-56164」が明らかになりました。
• 本脆弱性をめぐり、評価機関のNISTは深刻度を「緊急（9.8）」とする一方、開発元のマイクロソフトは「中（5.3）」と評価しており、判断に乖離が見られます。
• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性が既に実際の攻撃で悪用されているとして「既知の悪用された脆弱性カタログ（KEV）」へ登録しました。
• 影響を受けるのはSharePoint Server 2016、2019、およびSubscription Editionの一部バージョンで、CISAは2026年7月17日までの迅速な対処を求めています。

リード文

米国時間の2026年7月14日、Microsoft SharePoint Serverに存在する権限昇格の脆弱性「CVE-2026-56164」に関する詳細情報が公開されました。この脆弱性は、認証プロセスを経ずに特定の重要機能を実行できてしまう不具合に起因するものです。情報公開と同日、米国の政府機関であるサイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性がすでに実際のサイバー攻撃において悪用されていることを確認し、対策義務を課すリストに追加しました。

認証回避による権限昇格の仕組みと脆弱性の分類

今回公開された脆弱性「CVE-2026-56164」は、Microsoft Office SharePointにおける「重要機能に対する認証の欠如」に関するものです。攻撃者がネットワークを通じてシステムへ接続した際、適切なログインや認証の手続きを経ることなく、本来保護されているはずの重要な機能を実行できてしまうという仕様上の欠陥が指摘されています。

この脆弱性が悪用された場合、権限を持たない外部の第三者がネットワーク経由でシステムにアクセスし、本来許可されていない上位の操作権限を不正に取得する「権限昇格」が可能になります。本脆弱性は、セキュリティ上の弱点を分類する共通基準であるCWE（Common Weakness Enumeration）において、「重要機能に対する認証の欠如」を示す「CWE-306」として分類されています。

NISTとマイクロソフトで分かれる深刻度スコアの乖離

本脆弱性の深刻度については、米国立標準技術研究所（NIST）が運営する国家脆弱性データベース（NVD）の評価と、脆弱性の報告元かつ製品開発元であるマイクロソフトによる評価の間で、顕著な食い違いが生じています。IT製品の脆弱性の深刻度を同一の基準で評価し数値化するための手法であるCVSS（Common Vulnerability Scoring System）のバージョン3.1において、両者の判定は大きく分かれました。

NISTが提示したCVSS 3.1のベーススコアは、10点満点中「9.8」という極めて高い数値であり、その深刻度は最高ランクの「緊急（CRITICAL）」と判定されています。NISTによる詳細な評価ベクトル（評価の根拠となるパラメータ）を見ると、ネットワーク経由で攻撃が可能であり、攻撃の複雑さは「低」、必要な権限は「不要」、ユーザーの関与も「不要」とされています。さらに、情報漏洩（機密性の影響）、データの改ざん（完全性の影響）、システムの動作停止（可用性の影響）の3つの項目すべてにおいて「高（High）」という、最悪の被害想定がなされています。

これに対して、マイクロソフト側が算出したCVSS 3.1のベーススコアは「5.3」に留まり、深刻度は「中（MEDIUM）」と評価されています。マイクロソフトの評価ベクトルによれば、攻撃の経路や条件自体はNISTの想定と同じく「特権やユーザー操作が不要で、容易にネットワーク経由で実行可能」とされているものの、影響の範囲について「機密性の侵害や可用性の損失は発生せず、完全性に対してのみ一部低度（Low）の影響が及ぶ」と判断されています。この被害影響に対する見解の差が、両者の深刻度スコアにおける大きな乖離を招く結果となりました。

CISAによる「悪用済み」認定と緊急対策の要求

NISTとマイクロソフトの間で評価の深刻度に開きがあるものの、すでに実際の攻撃で悪用されているという事実は非常に重く受け止められています。CISAは2026年7月14日、本脆弱性を「既知の悪用された脆弱性カタログ（KEV）」に正式に登録しました。KEVカタログとは、実際に攻撃者による悪用が確認された脆弱性をまとめたリストです。

CISAのコーディネーターによるSSVC（ステークホルダー脆弱性分類）の評価データによると、この脆弱性は現在「アクティブに悪用されている（exploitation: active）」状況にあり、攻撃のプロセスを「自動化することが可能（automatable: yes）」であり、技術的な影響は「部分的（technicalImpact: partial）」であると認定されています。

CISAは、政府機関や関係するステークホルダーに対し、2026年7月17日を期限（Due Date）とする極めてタイトなスケジュールでの対応を要求しています。具体的な指示として、製品ベンダーであるマイクロソフトの指示に従って速やかに緩和策を適用することや、リスクに基づいてセキュリティアップデートの優先順位を決定するためのガイドラインである「BOD 26-04」およびCISAが定める「フォレンジック調査のトリアージ要件」を遵守することを求めています。クラウドサービスを利用している組織についても、該当するガイドラインに従うか、緩和策の適用が困難な場合は直ちに製品の使用を中止するよう勧告がなされています。また、資産管理者などは各自の環境におけるインターネットへの露出状況を個別に評価する責任があるとされています。

影響を受けるSharePoint Serverのバージョンと対策情報

今回の脆弱性「CVE-2026-56164」の影響を受けるとされる対象ソフトウェアの構成情報は、マイクロソフトから以下のように公開されています。

• Microsoft SharePoint Enterprise Server 2016（x64ベースシステム）：バージョン16.0.0以上、16.0.5561.1001未満のバージョン
• Microsoft SharePoint Server 2019（x64ベースシステム）：バージョン16.0.0以上、16.0.10417.20175未満のバージョン
• Microsoft SharePoint Server Subscription Edition（x64ベースシステム）：バージョン16.0.0以上、16.0.19725.20434未満のバージョン

また、NISTによる初期分析レコードにおいては、SharePoint Server 2016（Enterprise）、SharePoint Server 2019、およびSharePoint Server Subscription Editionの各製品について、バージョン16.0.19725.20434未満（同バージョンを除く）が脆弱性の影響対象としてリストアップされています。

本脆弱性の対策として、マイクロソフトが提供する「セキュリティ更新プログラムガイド（MSRC Update Guide）」や、CISAのKEVカタログなどの参照先情報が公開されています。該当するバージョンを使用しているユーザーに対して、ベンダーの指示に基づいた緩和策の速やかな適用や対策が求められています。