Trusted Design

CVE-2026-55040 の詳細

CVEの情報

説明:
Weak authentication in Microsoft Office SharePoint allows an unauthorized attacker to bypass a security feature over a network.

CVE更新日: 2026-07-14 18:18:15.413000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2026-08-18

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.695360000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-55040に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2026-55040は、Microsoft SharePoint Serverに存在する認証バイパスの脆弱性です。この脆弱性は、弱い認証（CWE-1390）に分類されます。攻撃者はネットワーク経由でSharePointのセキュリティ機能をバイパスし、認証されていない状態でも正規のユーザーとして振る舞うことが可能になります。Rapid7のシニア主任セキュリティ研究者Stephen Fewer氏によって発見され、Pwn2Own Berlinで実証されました。

1.1 影響

この脆弱性が悪用されると、認証されていないネットワーク上の攻撃者がSharePointのセキュリティ機能をバイパスできます。これにより、ホストされているコンテンツおよびコラボレーションワークフローの機密性と完全性が危殆化します。攻撃者は、任意のサイトユーザーまたは管理者になりすますことが可能です。

さらに、Rapid7は、CVE-2026-55040を、まだパッチが適用されていない別のリモートコード実行（RCE）の脆弱性（CVE-2026-63520）と組み合わせることで、認証なしでサーバーに対する完全なリモートコード実行を達成できることを実証しています。この認証バイパスの脆弱性にパッチを適用することで、RCEコンポーネントが修正される前であっても、この攻撃チェーンを無効化できます。

1.2 深刻度

CVE-2026-55040の深刻度は「緊急（Critical）」と評価されており、CVSS v3.1ベーススコアは9.1です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるのはMicrosoft SharePoint Serverのバージョンであり、特定のOSバージョンではありません。影響を受けるMicrosoft SharePoint Serverのバージョンは以下の通りです。

  • Microsoft SharePoint Enterprise Server 2016: バージョン 16.0.0 から 16.0.5561.1001 未満
  • Microsoft SharePoint Server 2019: バージョン 16.0.0 から 16.0.10417.20175 未満
  • Microsoft SharePoint Server Subscription Edition: バージョン 16.0.0 から 16.0.19725.20434 未満

2.2 影響を受ける設定

本脆弱性は、SharePointのJWT（JSON Web Token）トークン検証パイプラインにおける複数の脆弱性（署名強制検証機能の欠如やx5tヘッダー処理ロジックの誤りなど）に起因します。 攻撃者は、ユーザーのActive DirectoryセキュリティID（SID）またはユーザープリンシパル名（UPN、メールアドレス形式）の有効なターゲットユーザー識別子を供給する必要があります。

3. 影響を受けた時の兆候

以下のような兆候が影響を受けた際に現れる可能性があります。

  • ハニーポットシステムによって記録された、管理者権限のスキャン、自動化された列挙、およびゼロデイ攻撃の傾向。
  • 不審な認証試行や、正当なユーザーを装った不正な操作。

4. 推奨対策

4.1 本対策

マイクロソフトは2026年7月14日の月例セキュリティ更新プログラム（Patch Tuesday）でこの脆弱性に対するパッチをリリースしています。

  • すべてのオンプレミスSharePointインスタンスにセキュリティ更新プログラムを適用する。特にインターネットに直接公開されているものを最優先で実施することが推奨されます。
  • 具体的な更新プログラムは以下の通りです。
    • SharePoint Enterprise Server 2016 (x64)の場合：KB 5002891（言語非依存）とKB 5002892（言語固有）をインストールし、バージョン16.0.5561.1001以降に更新する。
    • SharePoint Server 2019 (x64) および SharePoint Server Subscription Edition についても、それぞれ対応するセキュリティ更新プログラムを適用してください。

4.2 暫定回避策（緩和策）

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、即座にパッチを適用できない組織向けの暫定的な回避策として、以下の実施を推奨しています。

  • SharePointサーバー上でAMSI（Antimalware Scan Interface）を「Full Mode」で有効にする。これにより、SharePointがPOSTリクエストのボディを処理する前にスキャンされ、悪意のあるペイロードを途中で遮断できる可能性があります。

他に解説すべき観点

  • 攻撃チェーンとRCEの危険性: 本脆弱性は単独でも深刻ですが、未修正のRCE脆弱性（CVE-2026-63520）と組み合わせることで、認証なしのリモートコード実行に繋がるため、認証バイパスのパッチ適用は非常に重要です。RCE側の修正は2026年8月のパッチで対応される予定です。
  • Proof-of-Concept (PoC)の公開: この脆弱性に対するPoCスクリプトがGitHubで公開されており、積極的に悪用される可能性があります。 CISAもこの脆弱性をKnown Exploited Vulnerabilities (KEV)カタログに追加しており、早急な対策が必要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る