脅威インテリジェンス企業Defusedによると、攻撃者は、セキュリティ対策が施されていないサーバー上でリモートコード実行を可能にするMicrosoft SharePointの2つの脆弱性チェーンのテストを開始した。これは、両脆弱性の概念実証（PoC）コードが公開され、悪用の試みに必要な技術的ハードルが下がったことを受けたものだ。
チェーンはどのように機能するのか？
1つ目の脆弱性であるCVE-2026-55040は、SharePointのJWTトークン検証経路に存在する認証回避の不備だ。権限を持たない攻撃者がこれを悪用すると、SharePointサイト上でユーザーまたは管理者として操作を実行できる。
2つ目の脆弱性であるCVE-2026-63520は、Business Connectivity Services（BCS）に存在する。攻撃者が認証回避の脆弱性の悪用に成功した後、この2つ目の脆弱性を利用して、標的のSharePointサーバー上でリモートコードを実行できる。
Rapid7のセキュリティ研究者Stephen Fewerは8月11日にチェーンの第1段階に関する概念実証コードを公開し、VulnCheckの研究者Jonathan Petersonは8月24日に2つ目の脆弱性のコードを公開した。CVE-2026-55040のPoCが公開された翌日、Defusedは、そのコードが実際の攻撃で使用されたと述べた。
これまでに何が検出されているのか？
8月25日、Defusedは、両脆弱性を組み合わせた試みを同社のハニーポットで検出したと報告した。検出された兆候には、JWTの回避に続く、管理者アカウントの探索や、2つ目の脆弱性に関連するBusiness Data Catalogのスキャンを集中的に行う活動が含まれていた。ただし同社は、警告を発表した時点ではコード実行を検出していないと述べた。
非営利のインターネットセキュリティ組織Shadowserverは、ネットワーク上で公開されている8,700台超のMicrosoft SharePointサーバーを追跡している。利用可能なデータでは、これらのシステムのうちどの程度がハニーポットなのか、また実際に保護されたサーバーが何台あるのかは明らかになっていない。
セキュリティ当局の警告
米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は8月18日、連邦機関とネットワーク防御担当者に対し、CVE-2026-55040を悪用する継続中の攻撃からSharePointサーバーを保護するよう命じた。また同庁は7月15日、インターネットに公開されたオンプレミスのSharePoint Serverに対し、CVE-2026-32201、CVE-2026-45659、CVE-2026-56164という別の3つの脆弱性が悪用されていると警告した。
CISAはさらに、7月初旬から実際に悪用されていることが知られていたリモートコード実行の脆弱性CVE-2026-45659が、現在ではランサムウェアに関連する攻撃で使用されていることを確認した。2021年11月以降、同庁はMicrosoft SharePointで活発に悪用されている15件の脆弱性を登録しており、そのうち8件はランサムウェア犯罪グループとも関連している。
なぜこのニュースが重要なのか？
今回の進展が重要なのは、このチェーンが単独のリモートコード実行脆弱性だけに依存せず、まず認証を回避し、その後、実行経路を提供するコンポーネントへ移行するためだ。実際には、公開されたサーバーの管理者は両方の脆弱性に同時に対処し、ログイン試行、管理者アカウントの探索、Business Data Catalogの活動を確認する必要がある。
CISAはセキュリティチームに対し、SharePointの強化に関するMicrosoftの公式ガイダンスを確認し、必要がない限りSharePointサーバーをインターネットに直接公開しないよう推奨している。未解決の点も残っている。MicrosoftはCVE-2026-63520を攻撃者にとって魅力的な標的と分類しているが、現時点では実際に悪用されているとは分類していない。また、Defusedもこれまでのところハニーポット上でのコマンド実行を検出していない。