Microsoft SharePointのRCEチェーンを攻撃者らが狙う：CVE-2026-55040、CVE-2026-63520

Microsoft SharePointのRCEチェーンを攻撃者らが狙う：CVE-2026-55040、CVE-2026-63520

BleepingComputer – August 26, 2026

攻撃者がMicrosoft SharePointの脆弱性CVE-2026-55040およびCVE-2026-63520を連鎖させ、パッチ未適用のサーバーを狙うようになっているという。脅威インテリジェンス企業Defusedが報告した。

CVE-2026-55040は、JWTトークン検証パイプラインにおける認証バイパスの脆弱性。特権を持たない攻撃者が悪用を成功させると、SharePointサイトのユーザーまたは管理者になりすますことが可能になるとされる。2026年7月の月例セキュリティ更新プログラムで修正された脆弱性で、8月11日にはRapid7のセキュリティ研究者がPoCエクスプロイトコードをリリース。その翌日にはDefusedが、攻撃者によってこのコードがすでに利用されている旨を報告していた。

一方、2件目のCVE-2026-63520はSharePointのBusiness Connectivity Services（BCS）に存在する脆弱性。不適切な入力検証に起因し、認可されていない攻撃者によるネットワークを通じたコード実行を可能にするものと説明されている。同脆弱性は2026年8月の月例セキュリティ更新プログラムで修正されており、同月24日にはVulnCheckの脆弱性研究者によってPoCエクスプロイトがリリースされた。

認証されていない攻撃者が1件目のCVE-2026-55040の悪用を成功させ、その後CVE-2026-63520を連鎖させて悪用すると、標的となったSharePointサーバー上でのリモートコード実行（RCE）が可能になるとされる。

8月25日のDefusedのXポストによると、同社のハニーポットを狙った攻撃において、攻撃者がCVE-2026-55040およびCVE-2026-63520のRCEチェーンを試すようになっているという。同社は、「JWTバイパス（55040）が使われ、続いてCVE-2026-63520の背後にあるBusiness Data Catalogシンクの大規模な管理者列挙および探索行為が行われた」と述べた上で、コード実行はまだ観測されていないと伝えている。

Shadowserverによれば、8月25日の時点でインターネットに露出しているMicrosoft SharePointサーバーは8,700ほど存在するとされる。ただし、このうちハニーポットがどれくらいあるのかや、すでに保護済みのサーバーがどの程度あるのかといった詳細は不明だという。

今回報告された2件のうち、CVE-2026-55040は8月18日にすでに米CISAのKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加済み。なおCISAが2021年11月以降悪用を確認したMicrosoft SharePointの脆弱性は15件あり、そのうち8件はランサムウェアグループにも悪用されている。