SharePoint管理者が見逃せない「CVE-2026-45659」、悪用容易なRCE脆弱性に緊急パッチ

Microsoftは、定例のセキュリティ更新プログラム公開からわずか2週間後に、SharePoint Serverの危険な新たな脆弱性に対する緊急修正プログラムをリリースしました。「CVE-2026-45659」として識別されるこの問題は、基本的なログイン資格情報を持つ攻撃者がサーバーを完全に掌握することを可能にするもので、オンプレミス環境のSharePointを悩ませる深刻な脆弱性の連鎖を改めて浮き彫りにしています。自社でSharePointファームを管理するセキュリティチームにとって、これは単なる「パッチ」ではなく、最優先で対処すべき緊急事態です。

脆弱性分析：CVE-2026-45659の仕組み

CVE-2026-45659は、古典的かつ危険なソフトウェア欠陥の典型です。正式には「信頼できないデータのデシリアライゼーション」、すなわちCWE-502に分類される脆弱性です。

平たく言えば、SharePointはユーザーから送られてくる複雑なデータの「パッケージ」を受け取り、処理します。この脆弱性により、攻撃者はサーバー側で「開封」（デシリアライズ）される際に任意のコードを実行させる、悪意のあるパッケージを作り出すことが可能になります。まさにトロイの木馬のごとく、一見無害なデータからサーバーを乗っ取ることができてしまうのです。

この脆弱性の技術的な詳細は、悪用がいかに容易かを示しています。

• CVSS 3.1スコア: 8.8（高）
• 攻撃元区分: ネットワーク経由
• 攻撃の複雑さ: 低。特別な事前知識や条件は不要です 。
• 必要な特権: 低。攻撃者は、対象のSharePointサーバーにおける「サイトメンバー」の基本権限さえあれば十分です 。
• ユーザー操作: 不要。ユーザーがリンクをクリックしたりファイルをダウンロードするのを待つ必要はなく、攻撃者は直接サーバーを狙います 。
• 影響: 機密性、完全性、可用性のすべてに「高」の影響。攻撃が成功すれば、システムの完全な侵害と情報漏洩につながることを意味します 。

低権限、ユーザー操作不要、ネットワークからの攻撃が可能というこの組み合わせは、攻撃者にとって格好の標的となります。たった一つの標準ユーザーアカウントが侵害されるだけで、サーバー全体の制御権を握られる入り口になり得るのです。

影響を受けるバージョン

これはオンプレミス環境に固有の問題です。以下の3つのバージョンのSharePoint Serverが影響を受けます。SharePoint Onlineは本脆弱性の影響を受けません 。

• Microsoft SharePoint Server Subscription Edition (16.0.5552.1002 より前のビルド)
• Microsoft SharePoint Server 2019 (16.0.10417.20128 より前のビルド)
• Microsoft SharePoint Enterprise Server 2016 (16.0.5552.1002 より前のビルド)

影響を受ける各バージョンについて、Microsoftは管理者が自環境のパッチ適用状況を確認できるよう、特定の更新プログラムとビルド番号を提供しています。このパッチは2026年5月12日の標準的なセキュリティ更新の一部として公開されましたが、その深刻度が明らかになるにつれて重要性が再認識されています 。

相次ぐSharePointのデシリアライゼーション攻撃

CVE-2026-45659は、孤立した事象ではありません。これは、オンプレミス環境のSharePointを悩ませてきた、影響度の大きい一連のデシリアライゼーション脆弱性の最新事例に過ぎません。

記憶に新しいのが CVE-2026-20963 です。同様の欠陥でしたが、確定したCVSSスコアは9.8とさらに深刻で、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用されている事実を確認した上で、2026年3月18日に**「悪用が確認された脆弱性（KEV）」カタログに追加しました 。さらにCERT-EUの報告によると、MicrosoftはCVE-2026-20963に関する最初のセキュリティアドバイザリを更新し、この脆弱性が認証されていない攻撃者**によって悪用可能であること、つまりログイン自体が一切不要であることを明確にせざるを得ませんでした 。

CVE-2026-33110 などの他の関連問題も、同様に信頼できないデータのデシリアライゼーションを突いたもので、同じ製品ラインに影響します 。パターンは明白です。攻撃者とセキュリティ研究者はSharePointのデシリアライゼーションメカニズムを徹底的に精査しており、深刻な欠陥が驚くべきペースで発見され続けています。この傾向は、SharePoint管理者にとって、堅牢かつタイムリーなパッチ適用がかつてないほど重要になっていることを示しています。

緩和策と多層防御戦略

パッチ適用が唯一の完全な解決策ですが、「多層防御」のアプローチを取ることで、さらなる防御層を追加できます。オンプレミスのSharePointを運用しなければならない組織のために、推奨される対応手順は以下の通りです。

1. 直ちにパッチを適用する： これが最も重要なアクションです。各SharePointバージョンに対応するセキュリティ更新プログラムを特定し、インターネットに接続されたサーバーを最優先に展開してください 。
2. ユーザー権限の監査と制限： CVE-2026-45659の悪用に必要なのは「サイトメンバー」アクセス権のみであるため、ユーザー権限の徹底的な見直しが不可欠です。「最小権限の原則」を採用し、不要なユーザーアクセスを削除してください 。
3. サーバー監視の強化： エンドポイントでの検出と対応（EDR）ソリューションを導入し、悪用された後の不審な活動を監視します。セキュリティチームは、SharePointのアプリケーションプール（w3wp.exe）からの不審なプロセス生成、異常な外部ネットワーク接続やWebシェルの設置、サービスアカウントの異常な動作に特に注意を払う必要があります。
4. 関連する欠陥の修正状況を再確認する： CVE-2026-45659へのパッチ適用は必須ですが、既に悪用が確認されているCVE-2026-20963のパッチが未適用ならば、サーバーは依然として危険な状態です。今回のパッチ適用サイクルを機に、関連するすべてのSharePointセキュリティ更新プログラムが確実に適用されていることを確認してください 。
5. 攻撃対象領域の縮小： もしSharePointサーバーがパブリックなインターネットからアクセス可能である必要がないなら、ネットワークレベルで外部からのアクセスをすべて遮断してください。やむを得ず公開する必要がある場合は、Webアプリケーションファイアウォール（WAF）の背後に配置し、一般的なデシリアライゼーション攻撃をブロックするルールを設定してください。