SharePointの脆弱性「CVE-2026-55040」の実悪用が急増、PoC公開後に攻撃者がなりすましを試行

要点

• Microsoft SharePointに存在する極めて深刻な認証バイパスの脆弱性が、実際に悪用され始めていることが明らかになった。

• セキュリティ企業であるRapid7が今週初めに実証コード（PoC）を公開した直後から、悪用試行の急増が確認されたという。

• 脆弱性を悪用されると、認証なしの攻撃者によってデータの不正な変更やファイルの閲覧が行われる恐れがある。

• すでに日本を含む5つの国や地域から悪用試行が検出されており、速やかな修正パッチの適用が推奨されている。

• 米国のサイバーセキュリティメディア「The Hacker News」が2026年8月13日に報じたところによると、Microsoft SharePointに存在する認証バイパスの脆弱性「CVE-2026-55040」を狙った攻撃が、現実の世界で確認されているという。この動きは、セキュリティ企業のRapid7が今週初めに脆弱性の概念実証（PoC、脆弱性が実際に動作することを示すコード）を公開した後に活発化したとみられる。すでに日本国内を含む複数のアクセス元から悪用試行が記録されており、注意喚起が行われている。

• この脆弱性は、SharePointにおける弱い認証に起因してセキュリティ機能を回避できてしまうもので、深刻度を示すCVSS（脆弱性の深刻さを評価する世界的な基準）スコアは「9.1」と極めて高い。Microsoftは、2026年7月の月例セキュリティ更新（パッチチューズデー）で、すでに対処プログラムを公開している。

• Microsoftの説明によれば、本脆弱性は認証のバイパスによってなりすまし（正規ユーザーのふりをする攻撃手法）が可能になるという。悪用された場合、SharePoint内のファイルを盗み見たり（開示）、データを不正に書き換えたり（変更）する恐れがある。ただし、システムを停止させるような可用性（サービスを稼働させ続ける能力）への影響はない。

• Rapid7の分析によると、脆弱性はSharePointのトークン解析・検証処理の欠陥に起因する。具体的には、サーバー間で認証を行う「S2S（Service-to-Service）」方式で用いられるJWT（JSON Web Token、情報を電子署名付きでやり取りする技術）の処理ロジックを担う2つのプログラムクラス、「SPJsonWebSecurityTokenHandlerV2」および「SPJsonWebSecurityBaseTokenHandlerV2」に複数の問題が存在していた。

• 攻撃者は、これら2つのクラスの脆弱性を以下の4ステップで連鎖的に悪用し、未認証で偽造JWTを作成して任意のユーザーになりすますことができる。

1. 「alg: none」の指定: 攻撃者はJWTのヘッダーでアルゴリズムを「なし（none）」と指定し、署名検証をスキップさせる。
2. 証明書サムプリントの悪用: トークンの「x5t」ヘッダーに、SharePoint自身の証明書サムプリント（証明書の一意の識別値）を設定し、検証なしで署名キーを解決させる。
3. 発行者の無条件受け入れ: 解決された証明書が信頼リスト「TrustedSecurityTokenServices」になくても、発行者をそのまま承認する。
4. ダミー署名のスルー: トークンの署名に「AAAA」などのダミーの値を指定しても、検証されずに処理が完了する。

• GitHubで公開されたPythonベースのPoCコードは、この偽造JWTを使って標的のドメインコントローラー（組織の認証情報を一元管理するサーバー）へ問い合わせを行い、SID（セキュリティ識別子、ユーザーを識別するための固有番号）を利用してユーザー一覧を取得し、管理者のSIDを自動特定する仕組みとなっている。

• セキュリティプラットフォーム「KEVIntel」のデータによると、本脆弱性を狙った悪用試行は2026年7月19日以降で計12件記録されている。そのうち8件が8月12日と13日の2日間に集中しており、Rapid7によるPoCの公開が悪用の契機となったことを裏付けている。

• 現時点で攻撃者の身元や最終目的は不明である。しかし、これら12件のアクセスは、日本、香港、オランダ、台湾、米国を含む5つの国と地域に対応する8つの異なるIPアドレス（通信元の機器を特定する番号）から発信されていることが分かっている。

• 日本も標的に含まれており、実悪用が急増しているため、SharePointを稼働させている企業や管理者は、Microsoftの最新修正パッチを速やかに適用して防御を固めることが強く求められる。