低権限、ユーザー操作不要、ネットワークからの攻撃が可能というこの組み合わせは、攻撃者にとって格好の標的となります。たった一つの標準ユーザーアカウントが侵害されるだけで、サーバー全体の制御権を握られる入り口になり得るのです。

影響を受けるバージョン

これはオンプレミス環境に固有の問題です。以下の3つのバージョンのSharePoint Serverが影響を受けます。SharePoint Onlineは本脆弱性の影響を受けません 。

• Microsoft SharePoint Server Subscription Edition (16.0.5552.1002 より前のビルド)
• Microsoft SharePoint Server 2019 (16.0.10417.20128 より前のビルド)
• Microsoft SharePoint Enterprise Server 2016 (16.0.5552.1002 より前のビルド)

影響を受ける各バージョンについて、Microsoftは管理者が自環境のパッチ適用状況を確認できるよう、特定の更新プログラムとビルド番号を提供しています。このパッチは2026年5月12日の標準的なセキュリティ更新の一部として公開されましたが、その深刻度が明らかになるにつれて重要性が再認識されています 。

相次ぐSharePointのデシリアライゼーション攻撃

CVE-2026-45659は、孤立した事象ではありません。これは、オンプレミス環境のSharePointを悩ませてきた、影響度の大きい一連のデシリアライゼーション脆弱性の最新事例に過ぎません。

記憶に新しいのが CVE-2026-20963 です。同様の欠陥でしたが、確定したCVSSスコアは9.8とさらに深刻で、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用されている事実を確認した上で、2026年3月18日に**「悪用が確認された脆弱性（KEV）」カタログに追加しました 。さらにCERT-EUの報告によると、MicrosoftはCVE-2026-20963に関する最初のセキュリティアドバイザリを更新し、この脆弱性が認証されていない攻撃者**によって悪用可能であること、つまりログイン自体が一切不要であることを明確にせざるを得ませんでした 。

CVE-2026-33110 などの他の関連問題も、同様に信頼できないデータのデシリアライゼーションを突いたもので、同じ製品ラインに影響します 。パターンは明白です。攻撃者とセキュリティ研究者はSharePointのデシリアライゼーションメカニズムを徹底的に精査しており、深刻な欠陥が驚くべきペースで発見され続けています。この傾向は、SharePoint管理者にとって、堅牢かつタイムリーなパッチ適用がかつてないほど重要になっていることを示しています。

緩和策と多層防御戦略

パッチ適用が唯一の完全な解決策ですが、「多層防御」のアプローチを取ることで、さらなる防御層を追加できます。オンプレミスのSharePointを運用しなければならない組織のために、推奨される対応手順は以下の通りです。

1. 直ちにパッチを適用する： これが最も重要なアクションです。各SharePointバージョンに対応するセキュリティ更新プログラムを特定し、インターネットに接続されたサーバーを最優先に展開してください 。
2. ユーザー権限の監査と制限： CVE-2026-45659の悪用に必要なのは「サイトメンバー」アクセス権のみであるため、ユーザー権限の徹底的な見直しが不可欠です。「最小権限の原則」を採用し、不要なユーザーアクセスを削除してください 。
3. サーバー監視の強化： エンドポイントでの検出と対応（EDR）ソリューションを導入し、悪用された後の不審な活動を監視します。セキュリティチームは、SharePointのアプリケーションプール（w3wp.exe）からの不審なプロセス生成、異常な外部ネットワーク接続やWebシェルの設置、サービスアカウントの異常な動作に特に注意を払う必要があります。
4. 関連する欠陥の修正状況を再確認する： CVE-2026-45659へのパッチ適用は必須ですが、既に悪用が確認されているCVE-2026-20963のパッチが未適用ならば、サーバーは依然として危険な状態です。今回のパッチ適用サイクルを機に、関連するすべてのSharePointセキュリティ更新プログラムが確実に適用されていることを確認してください 。
5. 攻撃対象領域の縮小： もしSharePointサーバーがパブリックなインターネットからアクセス可能である必要がないなら、ネットワークレベルで外部からのアクセスをすべて遮断してください。やむを得ず公開する必要がある場合は、Webアプリケーションファイアウォール（WAF）の背後に配置し、一般的なデシリアライゼーション攻撃をブロックするルールを設定してください。

低権限、ユーザー操作不要、ネットワークからの攻撃が可能というこの組み合わせは、攻撃者にとって格好の標的となります。たった一つの標準ユーザーアカウントが侵害されるだけで、サーバー全体の制御権を握られる入り口になり得るのです。

影響を受けるバージョン

これはオンプレミス環境に固有の問題です。以下の3つのバージョンのSharePoint Serverが影響を受けます。SharePoint Onlineは本脆弱性の影響を受けません 。

• Microsoft SharePoint Server Subscription Edition (16.0.5552.1002 より前のビルド)
• Microsoft SharePoint Server 2019 (16.0.10417.20128 より前のビルド)
• Microsoft SharePoint Enterprise Server 2016 (16.0.5552.1002 より前のビルド)

影響を受ける各バージョンについて、Microsoftは管理者が自環境のパッチ適用状況を確認できるよう、特定の更新プログラムとビルド番号を提供しています。このパッチは2026年5月12日の標準的なセキュリティ更新の一部として公開されましたが、その深刻度が明らかになるにつれて重要性が再認識されています 。

相次ぐSharePointのデシリアライゼーション攻撃

CVE-2026-45659は、孤立した事象ではありません。これは、オンプレミス環境のSharePointを悩ませてきた、影響度の大きい一連のデシリアライゼーション脆弱性の最新事例に過ぎません。

記憶に新しいのが CVE-2026-20963 です。同様の欠陥でしたが、確定したCVSSスコアは9.8とさらに深刻で、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用されている事実を確認した上で、2026年3月18日に**「悪用が確認された脆弱性（KEV）」カタログに追加しました 。さらにCERT-EUの報告によると、MicrosoftはCVE-2026-20963に関する最初のセキュリティアドバイザリを更新し、この脆弱性が認証されていない攻撃者**によって悪用可能であること、つまりログイン自体が一切不要であることを明確にせざるを得ませんでした 。

CVE-2026-33110 などの他の関連問題も、同様に信頼できないデータのデシリアライゼーションを突いたもので、同じ製品ラインに影響します 。パターンは明白です。攻撃者とセキュリティ研究者はSharePointのデシリアライゼーションメカニズムを徹底的に精査しており、深刻な欠陥が驚くべきペースで発見され続けています。この傾向は、SharePoint管理者にとって、堅牢かつタイムリーなパッチ適用がかつてないほど重要になっていることを示しています。

緩和策と多層防御戦略

パッチ適用が唯一の完全な解決策ですが、「多層防御」のアプローチを取ることで、さらなる防御層を追加できます。オンプレミスのSharePointを運用しなければならない組織のために、推奨される対応手順は以下の通りです。

1. 直ちにパッチを適用する： これが最も重要なアクションです。各SharePointバージョンに対応するセキュリティ更新プログラムを特定し、インターネットに接続されたサーバーを最優先に展開してください 。
2. ユーザー権限の監査と制限： CVE-2026-45659の悪用に必要なのは「サイトメンバー」アクセス権のみであるため、ユーザー権限の徹底的な見直しが不可欠です。「最小権限の原則」を採用し、不要なユーザーアクセスを削除してください 。
3. サーバー監視の強化： エンドポイントでの検出と対応（EDR）ソリューションを導入し、悪用された後の不審な活動を監視します。セキュリティチームは、SharePointのアプリケーションプール（w3wp.exe）からの不審なプロセス生成、異常な外部ネットワーク接続やWebシェルの設置、サービスアカウントの異常な動作に特に注意を払う必要があります。
4. 関連する欠陥の修正状況を再確認する： CVE-2026-45659へのパッチ適用は必須ですが、既に悪用が確認されているCVE-2026-20963のパッチが未適用ならば、サーバーは依然として危険な状態です。今回のパッチ適用サイクルを機に、関連するすべてのSharePointセキュリティ更新プログラムが確実に適用されていることを確認してください 。
5. 攻撃対象領域の縮小： もしSharePointサーバーがパブリックなインターネットからアクセス可能である必要がないなら、ネットワークレベルで外部からのアクセスをすべて遮断してください。やむを得ず公開する必要がある場合は、Webアプリケーションファイアウォール（WAF）の背後に配置し、一般的なデシリアライゼーション攻撃をブロックするルールを設定してください。