Rapid7の研究者であるStephen Fewer氏がこの脆弱性を発見し、2026年7月14日にMicrosoftと共同で開示しました 。Rapid7が8月10日にPoCコードを公開した後、攻撃者は数日以内に実際のシステムを標的にし始めました 。
現在サポートされているすべてのオンプレミス版SharePoint Serverエディションが影響を受けます:
SharePoint Online(Microsoft 365)は影響を受けません。この脆弱性はクラウドホスト環境には影響しません 。
CVE-2026-55040はCWE-1390(脆弱な認証)に分類され、SharePointのJSON Web Token(JWT)検証パイプラインに存在します 。Rapid7は、根本的な原因を「トークン検証ロジックにおける4つの異なる弱点の連鎖」と説明しています 。脆弱なサーバーにネットワークアクセスできる攻撃者は、サーバーが有効と受け入れる偽造JWTを提示し、既知のサイトユーザーになりすますことができます 。
攻撃者がActive Directoryのユーザー名やメールアドレスによって管理者権限を持つアカウントを特定した場合、SharePointファームへの完全な管理者アクセスを取得します 。その状態から、この脆弱性は別の未パッチのリモートコード実行(RCE)脆弱性と連鎖させ、完全な未認証RCEを達成するために悪用される可能性があります 。
Microsoftは、2026年7月14日にリリースされた2026年7月のPatch TuesdayアップデートでCVE-2026-55040に対処しました 。Microsoftのアドバイザリでは、「認証機能は、この脆弱性がなりすましを許可するためバイパスされる可能性があります。この脆弱性を悪用されると、認証バイパスにつながる可能性があります」と述べています 。
Microsoftは、この脆弱性により攻撃者は「ファイルを開示しデータを変更できるが、システムの可用性に影響を与えることはできない」と評価しています 。
CISAは2026年7月14日の勧告(AA26-196A)で、直ちにSharePointを強化するよう求めました。当時、CISAは他の3つのSharePoint CVE(CVE-2026-32201、CVE-2026-45659、CVE-2026-56164)の悪用を確認し、CVE-2026-55040は新たに開示されたものの、まだ悪用は確認されていないとしていました 。Rapid7によるPoC公開後、すぐに悪用が確認され、CISAの更新された既知の悪用脆弱性(KEV)カタログにはCVE-2026-55040が追加されました 。
カナダサイバーセキュリティセンターも勧告AL26-017を発行し、CVE-2026-55040を重要な影響を及ぼすSharePointリストに追加しました 。
唯一の効果的な緩和策は、2026年7月のPatch Tuesdayアップデートを直ちに適用することです。 この脆弱性をパッチなしでブロックできる回避策や設定変更はありません 。
MicrosoftとCISAから推奨されるその他の強化策は以下の通りです:
CVE-2026-55040は孤立した事例ではありません。2026年を通じて、攻撃者は複数のSharePoint脆弱性を連鎖させた協調的なキャンペーンを展開しています。CVE-2026-55040のような初期アクセスベクターを使用して足場を築き、その後、権限昇格やRCEに移行してランサムウェアを展開したり、企業ネットワーク内で水平移動を行ったりしています 。CISAはランサムウェアギャングがこれらのSharePoint脆弱性を悪用していると警告しています 。
2026年にCISAのKEVカタログに追加されたCVEは以下の通りです:
| CVE | タイプ | CVSS | KEV登録日 |
|---|---|---|---|
| CVE-2026-32201 | 不正アクセス | High | 2026年4月14日 |
| CVE-2026-45659 | デシリアライゼーションRCE | High | 2026年7月1日(後にランサムウェアに悪用) |
| CVE-2026-56164 | 権限昇格(認証欠如) | 5.3 | 2026年7月14日 |
| CVE-2026-50522 | RCE(認証済み) | 9.8 | 2026年7月22日 |
| CVE-2026-58644 | デシリアライゼーションRCE | 9.8 | 2026年7月23日 |
| CVE-2026-55040 | JWT認証バイパス | 9.1 | 2026年8月 |
出典:
重要なポイント: CVE-2026-55040は、認証やユーザーの操作が一切不要であるため、この連鎖の中で最も危険なエントリーポイントです。他の悪用されているCVEと組み合わせることで、パッチが適用されていないオンプレミス版SharePointサーバーは格好の標的となります。2026年7月のアップデートを適用することが、組織が取るべき最も重要な防御策です。
Rapid7の研究者であるStephen Fewer氏がこの脆弱性を発見し、2026年7月14日にMicrosoftと共同で開示しました 。Rapid7が8月10日にPoCコードを公開した後、攻撃者は数日以内に実際のシステムを標的にし始めました 。
現在サポートされているすべてのオンプレミス版SharePoint Serverエディションが影響を受けます:
SharePoint Online(Microsoft 365)は影響を受けません。この脆弱性はクラウドホスト環境には影響しません 。
CVE-2026-55040はCWE-1390(脆弱な認証)に分類され、SharePointのJSON Web Token(JWT)検証パイプラインに存在します 。Rapid7は、根本的な原因を「トークン検証ロジックにおける4つの異なる弱点の連鎖」と説明しています 。脆弱なサーバーにネットワークアクセスできる攻撃者は、サーバーが有効と受け入れる偽造JWTを提示し、既知のサイトユーザーになりすますことができます 。
攻撃者がActive Directoryのユーザー名やメールアドレスによって管理者権限を持つアカウントを特定した場合、SharePointファームへの完全な管理者アクセスを取得します 。その状態から、この脆弱性は別の未パッチのリモートコード実行(RCE)脆弱性と連鎖させ、完全な未認証RCEを達成するために悪用される可能性があります 。
Microsoftは、2026年7月14日にリリースされた2026年7月のPatch TuesdayアップデートでCVE-2026-55040に対処しました 。Microsoftのアドバイザリでは、「認証機能は、この脆弱性がなりすましを許可するためバイパスされる可能性があります。この脆弱性を悪用されると、認証バイパスにつながる可能性があります」と述べています 。
Microsoftは、この脆弱性により攻撃者は「ファイルを開示しデータを変更できるが、システムの可用性に影響を与えることはできない」と評価しています 。
CISAは2026年7月14日の勧告(AA26-196A)で、直ちにSharePointを強化するよう求めました。当時、CISAは他の3つのSharePoint CVE(CVE-2026-32201、CVE-2026-45659、CVE-2026-56164)の悪用を確認し、CVE-2026-55040は新たに開示されたものの、まだ悪用は確認されていないとしていました 。Rapid7によるPoC公開後、すぐに悪用が確認され、CISAの更新された既知の悪用脆弱性(KEV)カタログにはCVE-2026-55040が追加されました 。
カナダサイバーセキュリティセンターも勧告AL26-017を発行し、CVE-2026-55040を重要な影響を及ぼすSharePointリストに追加しました 。
唯一の効果的な緩和策は、2026年7月のPatch Tuesdayアップデートを直ちに適用することです。 この脆弱性をパッチなしでブロックできる回避策や設定変更はありません 。
MicrosoftとCISAから推奨されるその他の強化策は以下の通りです:
CVE-2026-55040は孤立した事例ではありません。2026年を通じて、攻撃者は複数のSharePoint脆弱性を連鎖させた協調的なキャンペーンを展開しています。CVE-2026-55040のような初期アクセスベクターを使用して足場を築き、その後、権限昇格やRCEに移行してランサムウェアを展開したり、企業ネットワーク内で水平移動を行ったりしています 。CISAはランサムウェアギャングがこれらのSharePoint脆弱性を悪用していると警告しています 。
2026年にCISAのKEVカタログに追加されたCVEは以下の通りです:
| CVE | タイプ | CVSS | KEV登録日 |
|---|---|---|---|
| CVE-2026-32201 | 不正アクセス | High | 2026年4月14日 |
| CVE-2026-45659 | デシリアライゼーションRCE | High | 2026年7月1日(後にランサムウェアに悪用) |
| CVE-2026-56164 | 権限昇格(認証欠如) | 5.3 | 2026年7月14日 |
| CVE-2026-50522 | RCE(認証済み) | 9.8 | 2026年7月22日 |
| CVE-2026-58644 | デシリアライゼーションRCE | 9.8 | 2026年7月23日 |
| CVE-2026-55040 | JWT認証バイパス | 9.1 | 2026年8月 |
出典:
重要なポイント: CVE-2026-55040は、認証やユーザーの操作が一切不要であるため、この連鎖の中で最も危険なエントリーポイントです。他の悪用されているCVEと組み合わせることで、パッチが適用されていないオンプレミス版SharePointサーバーは格好の標的となります。2026年7月のアップデートを適用することが、組織が取るべき最も重要な防御策です。