オンプレミスのMicrosoft SharePoint Serverには、認証されていない攻撃者がネットワーク経由で権限を昇格できるCVE-2026-56164と、信頼できないデータの逆シリアル化によりコードを実行できるCVE-2026-58644があります。両者は影響と修正版が異なるため、同じ脆弱性として扱わず、CVE別に適用状況を確認してください。
今すぐ行う対策
- ✓CVE-2026-56164の修正版ビルド以上へ更新する
- ✓CVE-2026-58644の修正版ビルド以上へ更新する
- ✓インターネット公開状況を確認し、更新まで管理面と到達元を必要最小限にする
- ✓IIS・SharePointのログ、追加ファイル、構成変更、アカウント変更を調査する
脆弱性の概要と影響範囲
CVE-2026-56164は、オンプレミス版のMicrosoft SharePoint Server（SharePoint Server 2016、2019、およびSubscription Edition）に存在する認証欠如の脆弱性（CWE-306）です。攻撃者は認証情報を必要とせず、ユーザーの操作も介さずに、ネットワーク経由でリモートから権限を昇格させることが可能となります。
MicrosoftはCVE-2026-56164をCVSS v3.1 5.3 MEDIUMと評価しています。修正版の下限はSharePoint 2016が16.0.5561.1001、2019が16.0.10417.20175、Subscription Editionが16.0.19725.20434です。別機関のより高い評価を使う場合は評価者とベクトルを併記し、Microsoft評価を隠してはいけません。
CVE-2026-58644は別の脆弱性で、Microsoft評価はCVSS v3.1 9.8 CRITICALです。認証されていない攻撃者によるネットワーク経由のコード実行が想定されます。修正版の下限はSharePoint 2016が16.0.5556.1005、2019が16.0.10417.20153、Subscription Editionが16.0.19725.20384です。AD FSのCVE-2026-56155はSharePointの脆弱性ではないため、本記事の対策対象から外します。
具体的な影響・攻撃シナリオ
CVE-2026-56164は重要機能の認証欠如による権限昇格です。CVE-2026-58644は逆シリアル化によるRCEです。公開されている各CVEのMicrosoftレコードは、機械キー窃取や特定マルウェア展開を脆弱性そのものの性質としては記載していません。
これにより、企業の機密情報が漏洩したり、システムが制御され、サービス停止やデータ破壊に繋がる恐れがあります。
悪用状況について、出典で確認できることだけを書きます。Microsoftは CVE-2026-56164 と CVE-2026-58644 のどちらも「悪用あり（Exploited: Yes）」と評価しており、CVSSの一時的評価基準も Exploit Code Maturity が Functional（ベクタの E:F）です。
一方で、どの攻撃グループがどの業種を狙っているかは、本記事の出典（MicrosoftのMSRCとCVEレコード）からは確認できません。そこまでは書きません。
対応手順と確認方法
更新後、SharePointのビルド番号が各CVEの修正版下限以上であることを確認します。更新前から公開していたサーバーでは、パッチ適用だけで調査を終えず、IISログ、SharePointログ、Webルートや一時領域の不審ファイル、管理者・サービスアカウント、構成変更を確認します。侵害が疑われる場合はサーバーを隔離して組織の手順に従います。
📦