SharePointの脆弱性CVE-2026-65660、当初の「なりすまし」評価からリモートコード実行が可能と判明

要点

• Microsoftが当初「スプーフィング（なりすまし）」と分類していたSharePointの脆弱性（CVE-2026-65660）について、認証を受けた攻撃者によるリモートコード実行（RCE）が可能である詳細が公開された。

• Webパーツの処理において引用符のエスケープが不十分なため、任意の.NETクラスが読み込まれ、デシリアライズを通じてコード実行に至る仕組みとなっている。

• 過去に修正された認証回避の脆弱性と組み合わせることで、匿名アクセスを許可した環境では未認証でのリモートコード実行が可能になることも実証された。

• 脆弱性を修正し該当機能を既定で無効化する更新プログラムは2026年8月に提供されており、現時点で実際の悪用は確認されていない。

• Microsoftのグループウェア製品「SharePoint Server」に存在する脆弱性について、当初案内されていた深刻度よりも危険性が高く、リモートからのコード実行が可能であることが判明した。ベトナムのセキュリティ企業Viettel Cyber Securityに所属する研究者のDinh Ho Anh Khoa氏が、2026年9月22日に詳細な技術解説を公開したことで明らかになった。対象となる脆弱性は2026年8月にパッチが公開されているが、当初の分類と実際の挙動の差異が注目されている。

当初のアドバイザリ評価と実際の危険性の相違

問題となっている脆弱性は「CVE-2026-65660」として管理されている。Microsoftが公開した初期のセキュリティアドバイザリでは、本脆弱性は認証された攻撃者によるスプーフィング（正規のユーザーや権限になりすます攻撃）を許すものとされ、CVSSスコアは6.5、データの完全性や可用性への影響はないと分類されていた。

しかし、米国国立脆弱性データベース（NVD）はこの脆弱性のCVSSスコアを8.8と評価している。さらに、Microsoftが別途管理し9月11日に更新したCVEレコードでは、本件をリモートコード実行（遠隔から不正なコマンドを実行させる攻撃）の脆弱性と定義し、認証された攻撃者がコードを実行可能であると記載を改めた。共通脆弱性タイプとしては、いずれの記録でもコードインジェクションの欠陥を示す「CWE-94」が割り当てられている。初期のアドバイザリ情報をもとにトリアージを行ったセキュリティ担当者は、深刻なコード実行ではなく中程度のリスクを持つなりすましの不具合として捉えていた可能性があるという。

脆弱性の技術的要因とコード実行の仕組み

Khoa氏が公開した技術情報によると、本脆弱性はSharePointが危険なクラスの読み込みを防ぐために備えているフィルター機能「SafeControls」リストの検証処理に存在している。

SharePointの「ToolPane」コンポーネントがWebパーツ（ページ上に配置される機能部品）のマークアップを処理する際、Registerディレクティブを再構築する処理が行われる。この処理において、属性値の間にある二重引用符（ダブルクォーテーション）の内側に含まれる引用符が適切にエスケープされずに出力される欠陥が存在していた。

攻撃者はエスケープされない引用符を利用して追加のディレクティブを注入し、型チェックが完了した後、コントロールが実際に読み込まれる前の段階で任意の.NETクラスを登録できる。このクラス読み込みを足がかりに、.NETの機能である XamlServices.Parse() を呼び出すことで、デシリアライズ（保存されたデータからプログラム上のオブジェクトを復元する処理）を介して任意のコードを実行させる。公開された解説には、他のデシリアライズ手法で発生するレジストリ権限のエラーを回避し、メモリ上で動作するWebシェル（サーバーを遠隔操作するためのプログラム）の実証コードも含まれている。

認証回避との組み合わせによる未認証攻撃の実証

さらにKhoa氏は、匿名ユーザーによるページアクセスが許可されているサーバー環境において、過去に修正された認証回避の脆弱性と本件を連携させる攻撃手法も実証した。この2つの脆弱性を組み合わせることで、事前のログインを行うことなく遠隔からコードを実行できる「事前認証なしのRCE」が成立するという。

ただし、この認証回避の不具合は2026年6月9日の更新プログラムで修正されている。そのため、該当の修正をすでに適用しているサーバーであれば、事前認証なしの攻撃経路による影響は受けないとしている。

影響を受けるバージョンとパッチの適用状況

CVE-2026-65660の影響を受ける製品として、MicrosoftのアドバイザリにはSharePoint Server 2016、SharePoint Server 2019、およびSharePoint Server Subscription Editionが挙げられている。加えてKhoa氏はSharePoint 2013も本脆弱性の影響を受けると指摘しているが、同バージョンは2023年4月にサポートが終了しており、セキュリティ更新プログラムは提供されない。

Microsoftは2026年8月11日に公開したセキュリティ更新プログラムで本脆弱性を修正しており、問題のあった機能は既定で無効化される仕様に変更された。現時点でCVE-2026-65660が悪用されたという報告はなく、米国土安全保障省サイバーセキュリティ・インフラ安全保障庁（CISA）の既知の悪用された脆弱性カタログ（KEV）にも登録されていない。Microsoftのアドバイザリでは悪用の可能性を「低い」と評価しているものの、完全な攻撃手法が公開された状態となっている。なお、発見者のKhoa氏はペネトレーションテスト（侵入テスト）の業務において本エクスプロイトを使用した実績があるとしている。

報告者の実績

今回技術情報を公開したDinh Ho Anh Khoa氏は、2025年5月に開催されたハッキングコンテスト「Pwn2Own Berlin」でSharePointに対する攻撃チェーン「ToolShell」を実証した研究者として知られている。ToolShellは後に中国の国家支援を受けるグループによって悪用され、Microsoftが緊急パッチを配信する事態となった経緯がある。同氏はその後も、8月に詳細公開直後から悪用が確認された認証回避脆弱性（CVE-2026-55040）など、複数のSharePoint関連の脆弱性を継続して報告している。