Microsoft SharePointに深刻な脆弱性「CVE-2026-50522」が判明、CISAが「悪用確認済みリスト」に追加し警告

要点

• Microsoft Office SharePointに、認証なしでネットワーク経由の遠隔コード実行が可能となる重大な脆弱性が存在することが明らかになった。

• 開発元のMicrosoftは、脆弱性の深刻度を示すCVSS 3.1のスコアを、極めて高い脅威を示す「9.8（CRITICAL）」と判定している。

• 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性を「悪用が確認されている脆弱性カタログ」に登録し、警戒を強めている。

• 影響を受けるシステムはSharePoint Server 2016、2019、およびSubscription Editionの一部バージョンであり、速やかな修正パッチの適用が推奨されている。

• Microsoft Office SharePointにおける重大な脆弱性「CVE-2026-50522」の詳細が公表され、システム管理者への注意喚起が行われている。開発元のMicrosoft Corporationから2026年7月14日に報告されたこの脆弱性は、深刻度の高さから早期対応が必要だ。さらに7月22日には米CISA（サイバーセキュリティ・インフラセキュリティ庁）によって情報が更新され、実際の攻撃での悪用懸念が急速に高まっている。

脆弱性の概要とリモートコード実行の脅威

今回の脆弱性は、Microsoft Office SharePointにおける「信頼できないデータのデシリアライズ（CWE-502）」に起因する。デシリアライズとは、送信用などに一度変換されたデータをプログラムが元の形式に復元する処理のことだが、ここに脆弱性が存在する。
悪用された場合、認証を受けていない外部の攻撃者がネットワーク越しにSharePointサーバー上で任意のコードを実行できるという。これによりデータの窃取や改ざん、システムの完全な停止といった致命的な被害が生じる恐れがある。

深刻度評価：CVSS「9.8」が示す極めて高い危険性

Microsoftは本脆弱性の深刻度を、共通脆弱性評価システム（CVSS v3.1）に基づき、ベーススコア「9.8」、深刻度分類「CRITICAL（緊急）」と評価した。
この極めて高いスコアは、攻撃の成立条件が攻撃者にとって著しく容易であるためだ。攻撃経路（攻撃ベクター）はインターネット経由で遠隔攻撃が可能な「ネットワーク」、攻撃の複雑さは特殊な手順を要しない「低」と評価された。さらに、攻撃に必要なログイン権限（特権）は「なし」、利用者の操作（ユーザー関与）も「不要」とされており、悪意ある第三者が無条件で攻撃を成立させられる。
攻撃成功時の影響も致命的で、データの窃取（機密性）、改ざん（完全性）、システムの完全な停止（可用性）のすべてで最大レベルの「高」と判定された。
なお、米国家脆弱性データベース（NVD）による独自の評価は、現時点で「N/A（未提供）」の分析待ち状態となっている。

セキュリティ機関の動向と「悪用確認済みリスト」への追加

Microsoftの公開と同日の2026年7月14日、CISAの担当チームは、脆弱性評価ツール（SSVC）に基づき、本脆弱性を「自動実行が可能（yes）」かつ「技術的影響が全面に及ぶ（total）」と評価し、プログラムを用いた無差別攻撃が容易に行われ得る危険性を指摘した。
さらに7月22日には情報が更新され、CISAの「悪用が確認されている脆弱性カタログ」へ追加された。このカタログへの登録は、実際のサイバー攻撃における悪用が確認された、あるいはそのリスクが極めて高いことを示しており、管理者に対して即時のパッチ適用を促す強い警告となっている。

影響を受けるバージョンと対策

影響を受けるのは、いずれもx64ベースシステムで動作する以下の環境だ。

• SharePoint Enterprise Server 2016：バージョン16.0.0以上、16.0.5561.1001未満
• SharePoint Server 2019：バージョン16.0.0以上、16.0.10417.20175未満
• SharePoint Server Subscription Edition：バージョン16.0.0以上、16.0.19725.20434未満

Microsoftはセキュリティ更新プログラムガイドを通じて修正パッチを提供しており、対象システムを運用する組織に対し、速やかな適用を求めている。

本脆弱性は多くの組織が導入しているSharePointを標的としており、CISAのリストへ追加されたことで、今後さらに攻撃が活発化する懸念がある。該当システムを運用する管理者は、自組織の環境を確認し、アップデート作業を最優先で進めるべきである。