Trusted Design

CVE-2026-32201 の詳細

CVEの情報

説明:
Improper input validation in Microsoft Office SharePoint allows an unauthorized attacker to perform spoofing over a network.

CVE更新日: 2026-04-14 18:17:27.160000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2026-04-14

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.089240000

EPSS更新日: 2026-06-01 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: True

AIを使った解説

解説:

CVE‑2026‑32201 調査結果

1. 脆弱性の概要

Microsoft SharePoint Server に存在する入力検証不備（Improper Input Validation）による Spoofing 脆弱性。

攻撃者は細工したリクエストを送信することで、認証されていない状態でもユーザーになりすました操作が可能となる。

Microsoft、CISA、IPA は 悪用がすでに確認されているゼロデイとして公表している。

1.1 影響

  • SharePoint ユーザーになりすまし
  • 機密情報の閲覧
  • ページ改ざん・フィッシング誘導
  • セッション情報の悪用
  • 組織内ポータルの信頼性低下

1.2 深刻度

CVSS 3.1（Microsoft 評価）

  • 6.5（Medium / Important）
  • AV:N / AC:L / PR:N / UI:N / S:U / C:L / I:L / A:N

※ スコアは中程度だが、悪用が確認されているため優先度は高い。

2. 対象となる環境

2.1 影響バージョン

MSRC / NVD より：

  • Microsoft SharePoint Server（オンプレミス版）
  • 具体的な影響バージョンは MSRC Update Guide に依存
  • CISA KEV に登録されており、米国連邦機関は 2026/4/28 までに修正必須

2.2 影響を受ける設定

  • SharePoint が外部公開されている
  • 入力検証がデフォルト設定のまま
  • 特定の Web ページ・API が公開されている

3. 侵害の兆候（IOC）

※公式 IOC は未公開。以下は脆弱性の性質から導かれる事実ベース。

  • SharePoint ページの改ざん
  • 不審なスクリプトの埋め込み
  • 匿名アクセスの増加
  • 正規ユーザーのセッションを悪用したアクセス
  • SharePoint ログにおける異常なリクエスト

4. 推奨対策

4.1 恒久対策（公式修正）

  • Microsoft のセキュリティ更新プログラムを適用（2026 年 4 月 Patch Tuesday）
  • Windows Update / WSUS による更新適用
  • CISA KEV の期限に従い、早急に修正を完了

4.2 暫定回避策（ワークアラウンド）

（一次情報ベースで一般的に有効）

  • SharePoint を外部公開しない
  • WAF による入力検証強化
  • 不審なスクリプト挿入の監視
  • セッション管理の強化
  • ログ監査（匿名アクセスの増加に注意）

参照サイト（一次情報）

NVDサイト

NVDでCVEの詳細を見る

戻る