問題となっているのは CVE-2026-55040（CVSSスコア：9.1）。この脆弱性により、未認証のリモート攻撃者はJSON Web Token（JWT）を偽造し、パスワードや有効なセッションなしにSharePointの任意のユーザー（サイト管理者を含む）になりすますことが可能になります。

Microsoftは2026年7月14日のPatch Tuesdayでこの脆弱性を修正。影響を受けるのはSharePoint Server Subscription Edition、2019、および2016 Enterpriseです。しかし、インターネット全体のスキャンによれば、8,500台以上のSharePointサーバーが依然として露出した状態にあり、攻撃の標的となり得ます。

脆弱性の仕組み：JWT検証の欠陥

根本原因は、SharePointのJWT検証パイプラインにおける脆弱な認証（CWE-1390）です。Rapid7の調査によると、この脆弱性は、SharePointのSPJsonWebSecurityTokenHandlerV2およびSPJsonWebSecurityBaseTokenHandlerV2クラスがBearerサービス間トークンを解析する際の複数の明確な弱点に起因します。攻撃者は、適切な暗号検証なしにサーバーが信頼するよう細工されたJWTを送信することで、事実上任意のSharePointサイトユーザーやファーム管理者のIDを乗っ取ることができます。

Microsoftはこの脆弱性を「認証機能がバイパスされる可能性があり、なりすましを許す」と説明しています。悪用されると、攻撃者はファイルの開示やデータの改変が可能ですが、システムの可用性への影響はないとされています。

開示と悪用のタイムライン

• 2026年7月14日: MicrosoftとRapid7がCVE-2026-55040を開示し、パッチを公開。
• 2026年8月10日: Rapid7が脆弱性の詳細な技術分析を公開。
• 2026年8月12日: Rapid7がPythonスクリプトによる公開PoCエクスプロイトをリリース。
• 2026年8月12日から数日以内: 攻撃者がこのエクスプロイトを実際の攻撃で悪用し始める。

Rapid7の研究者Stephen Fewer氏がこの脆弱性を発見。これは2つの脆弱性からなる連鎖の1つ目であり、2つ目の脆弱性（まだ公開保留中）と組み合わせることで、脆弱なSharePointサーバーに対して未認証でのリモートコード実行（RCE） を達成できるとされています。

CISAによる緩和策ガイダンス

CISAは2026年7月14日〜15日に緊急のセキュリティ強化ガイダンスを発行し、攻撃の拡大に伴い随時更新しています。SharePointをオンプレミスで運用している組織は、直ちに以下の措置を講じてください。

• 2026年7月の累積更新プログラムを適用：すべてのSharePointサーバーに適用。SharePoint製品構成ウィザードまたはPowerShellでインストールを確認してください。Windows Updateだけでは完全な適用は保証されません。具体的な更新プログラムは、SharePoint 2016用KB 5002891/KB 5002892、SharePoint 2019用KB 5002883などです。
• SharePointサーバーをインターネットに直接公開しない：インターネットからのアクセスが必要な場合は、認証を強制しリクエストを検査するレイヤー7リバースプロキシなどのアプリケーション層セキュリティアプライアンスの背後に配置してください。
• SharePoint セントラル管理への外部アクセスを遮断：この管理インターフェースは、インターネットから到達可能であってはなりません。
• 全てのSharePoint WebアプリケーションでAntimalware Scan Interface（AMSI）統合を有効化し、動作を確認。
• 侵害の兆候がある場合はIISマシンキーをローテーション：窃取された認証情報をローテーションする前に侵入の痕跡を監査してください。
• 異常な認証パターンを検出するためのログと監視を設定：パッチ適用前の期間について、認証および権限ログを確認してください。

より広範な悪用の状況：他3件のCVEがすでに悪用中

CVE-2026-55040は孤立した事例ではありません。パッチがリリースされた同日、CISAはさらに3件のSharePoint脆弱性の積極的な悪用を確認しています。

• CVE-2026-32201（CVSS 6.5） — 不適切な入力検証に起因するスプーフィング脆弱性。少なくとも2026年4月から悪用されています。
• CVE-2026-45659（CVSS 8.8） — 信頼できないデータのデシリアライゼーションによるリモートコード実行。2026年8月11日時点で、CISAはランサムウェアグループがこの脆弱性の悪用を開始したことを確認しました。
• CVE-2026-56164（CVSS 5.3、ただし認証なしでリモートから悪用可能） — 特権昇格の脆弱性。攻撃者はIISマシンキーを窃取し、持続的なアクセスを獲得するために積極的に連鎖させています。

攻撃者はこれらの脆弱性を連鎖させています。CVE-2026-32201で初期アクセスを獲得し、CVE-2026-45659やCVE-2026-56164でコードを実行、そしてCVE-2026-55040を認証バイパスのための力増強手段として使用しています。この協調的な悪用キャンペーンは、一部の研究者によって「SharePointチェーン」と呼ばれています。

問題となっているのは CVE-2026-55040（CVSSスコア：9.1）。この脆弱性により、未認証のリモート攻撃者はJSON Web Token（JWT）を偽造し、パスワードや有効なセッションなしにSharePointの任意のユーザー（サイト管理者を含む）になりすますことが可能になります。

Microsoftは2026年7月14日のPatch Tuesdayでこの脆弱性を修正。影響を受けるのはSharePoint Server Subscription Edition、2019、および2016 Enterpriseです。しかし、インターネット全体のスキャンによれば、8,500台以上のSharePointサーバーが依然として露出した状態にあり、攻撃の標的となり得ます。

脆弱性の仕組み：JWT検証の欠陥

根本原因は、SharePointのJWT検証パイプラインにおける脆弱な認証（CWE-1390）です。Rapid7の調査によると、この脆弱性は、SharePointのSPJsonWebSecurityTokenHandlerV2およびSPJsonWebSecurityBaseTokenHandlerV2クラスがBearerサービス間トークンを解析する際の複数の明確な弱点に起因します。攻撃者は、適切な暗号検証なしにサーバーが信頼するよう細工されたJWTを送信することで、事実上任意のSharePointサイトユーザーやファーム管理者のIDを乗っ取ることができます。

Microsoftはこの脆弱性を「認証機能がバイパスされる可能性があり、なりすましを許す」と説明しています。悪用されると、攻撃者はファイルの開示やデータの改変が可能ですが、システムの可用性への影響はないとされています。

開示と悪用のタイムライン

• 2026年7月14日: MicrosoftとRapid7がCVE-2026-55040を開示し、パッチを公開。
• 2026年8月10日: Rapid7が脆弱性の詳細な技術分析を公開。
• 2026年8月12日: Rapid7がPythonスクリプトによる公開PoCエクスプロイトをリリース。
• 2026年8月12日から数日以内: 攻撃者がこのエクスプロイトを実際の攻撃で悪用し始める。

Rapid7の研究者Stephen Fewer氏がこの脆弱性を発見。これは2つの脆弱性からなる連鎖の1つ目であり、2つ目の脆弱性（まだ公開保留中）と組み合わせることで、脆弱なSharePointサーバーに対して未認証でのリモートコード実行（RCE） を達成できるとされています。

CISAによる緩和策ガイダンス

CISAは2026年7月14日〜15日に緊急のセキュリティ強化ガイダンスを発行し、攻撃の拡大に伴い随時更新しています。SharePointをオンプレミスで運用している組織は、直ちに以下の措置を講じてください。

• 2026年7月の累積更新プログラムを適用：すべてのSharePointサーバーに適用。SharePoint製品構成ウィザードまたはPowerShellでインストールを確認してください。Windows Updateだけでは完全な適用は保証されません。具体的な更新プログラムは、SharePoint 2016用KB 5002891/KB 5002892、SharePoint 2019用KB 5002883などです。
• SharePointサーバーをインターネットに直接公開しない：インターネットからのアクセスが必要な場合は、認証を強制しリクエストを検査するレイヤー7リバースプロキシなどのアプリケーション層セキュリティアプライアンスの背後に配置してください。
• SharePoint セントラル管理への外部アクセスを遮断：この管理インターフェースは、インターネットから到達可能であってはなりません。
• 全てのSharePoint WebアプリケーションでAntimalware Scan Interface（AMSI）統合を有効化し、動作を確認。
• 侵害の兆候がある場合はIISマシンキーをローテーション：窃取された認証情報をローテーションする前に侵入の痕跡を監査してください。
• 異常な認証パターンを検出するためのログと監視を設定：パッチ適用前の期間について、認証および権限ログを確認してください。

より広範な悪用の状況：他3件のCVEがすでに悪用中

CVE-2026-55040は孤立した事例ではありません。パッチがリリースされた同日、CISAはさらに3件のSharePoint脆弱性の積極的な悪用を確認しています。

• CVE-2026-32201（CVSS 6.5） — 不適切な入力検証に起因するスプーフィング脆弱性。少なくとも2026年4月から悪用されています。
• CVE-2026-45659（CVSS 8.8） — 信頼できないデータのデシリアライゼーションによるリモートコード実行。2026年8月11日時点で、CISAはランサムウェアグループがこの脆弱性の悪用を開始したことを確認しました。
• CVE-2026-56164（CVSS 5.3、ただし認証なしでリモートから悪用可能） — 特権昇格の脆弱性。攻撃者はIISマシンキーを窃取し、持続的なアクセスを獲得するために積極的に連鎖させています。

攻撃者はこれらの脆弱性を連鎖させています。CVE-2026-32201で初期アクセスを獲得し、CVE-2026-45659やCVE-2026-56164でコードを実行、そしてCVE-2026-55040を認証バイパスのための力増強手段として使用しています。この協調的な悪用キャンペーンは、一部の研究者によって「SharePointチェーン」と呼ばれています。