SharePointの重大なRCE脆弱性をハッカーが悪用しマシンキーを窃取（CVE-2026-50522）

SharePointの重大なRCE脆弱性をハッカーが悪用しマシンキーを窃取（CVE-2026-50522）

BleepingComputer – July 21, 2026

Microsoft SharePointにおける重大な脆弱性CVE-2026-50522を、ハッカーらが悪用し始めているという。オフェンシブセキュリティ企業のwatchTowrが注意喚起した。

CVE-2026-50522は、2026年7月14日リリースの月例パッチで修正されたMicrosoft SharePointにおけるリモートコード実行の脆弱性。信頼できないデータのデシリアライゼーションに起因する問題で、認可されていない攻撃者によるネットワークを介したコード実行を可能にすると説明されている。アドバイザリには悪用が確認されたとの記載はなかったものの、悪用される可能性が高いとの評価が記されていた。

watchTowrによれば、同社は7月20日にCVE-2026-50522のPoCエクスプロイトコードを特定。それから数時間以内に、同社のグローバルハニーポットネットワークでオンプレミスの脆弱なSharePointデプロイメントに対するこのPoCを使った悪用の試みが観測され、ターゲットシステムの侵害が成功していることがわかったという。

watchTowrはまた、攻撃者が1回のリクエストでSharePointのマシンキーを取得したことも伝えた。マシンキーを入手した攻撃者は、有効な認証トークンを作成してユーザーになりすまし、偽造アイデンティティの権限を用いてSharePointサイトやドキュメントなどの利用可能なリソースにアクセスすることが可能になる。このため、たとえその後パッチが適用されたとしても、長期的にアクセスを保持することができるようになる。

CVE-2026-50522に関する公開エクスプロイトは少なくとも1件GitHub上で利用可能となっている。このPoCの公開日はwatchTowrが悪用試行を観測し始めた日と同じだが、観測されたインシデントがこのPoCを使ったものなのかどうかは定かではないという。

SharePointの最新セキュリティ更新を適用すれば脆弱性自体は取り除くことができるものの、watchTowrは併せて漏洩した恐れのあるアセット上の認証情報を更新することも推奨している。

QilinランサムウェアがPAN-OS GlobalProtectにおける脆弱性を悪用（CVE-2026-0257）

BleepingComputer – July 21, 2026

サイバーセキュリティ企業のArctic Wolfによると、Qilinランサムウェアグループが、PAN-OS GlobalProtectにおける重大な認証バイパスの脆弱性（CVE-2026-0257）を悪用して、被害者のネットワークに侵入しているという。

CVE-2026-0257はPAN-OS GlobalProtectポータルおよびゲートウェイに存在し、攻撃者はセキュリティ制限を回避して不正なVPN接続を確立することが可能になる。パロアルトネットワークスは5月13日にCVE-2026-0257に対処しており、同月17日には攻撃者がパッチ未適用のデバイスに対して悪用していると警告していた。

その後、Arctic Wolf Labsは7月20日に、CVE-2026-0257を悪用した攻撃においてQilinランサムウェアが確認されたと発表。悪用後の活動は、暗号化のみを素早く行うものから二重恐喝を実施するものまでさまざまだったことから、複数のQilin系アフィリエイトがこの脆弱性を使って標的ネットワークに侵入していることが示唆されている。CVE-2026-0257を悪用して侵入し、Qilinランサムウェアを展開するこのような攻撃は今後も続くだろうと同社は推測した。CISAも同日、CVE-2026-0257がランサムウェア攻撃で悪用されていると述べた。

セキュリティ監視機関Shadowserverは現在、オンライン上に公開されているGlobalProtect VPNインスタンス16万7,000件以上を追跡し、ShodanはGlobalProtectのフィンガープリントを持つ17万2,000件以上のIPアドレスを発見している。しかし、この中に含まれるハニーポットあるいはパッチ適用済みのインスタンスの件数は明らかになっていない。