Trusted Design

CVE-2026-65660 の詳細

CVEの情報

説明:
Improper control of generation of code ('code injection') in Microsoft Office SharePoint allows an authorized attacker to execute code over a network.

CVE更新日: 2026-08-11 17:18:54.080000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2026-09-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.021010000

EPSS更新日: 2026-10-15 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2026-65660に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-65660は、Microsoft SharePoint Serverにおけるコードインジェクションの脆弱性です。この脆弱性は、Microsoftが当初「なりすまし」の脆弱性として分類し、深刻度を中程度（CVSS 6.5）としていましたが、その後の詳細な分析により、認証されたリモートコード実行（RCE）が可能であることが判明し、より高い深刻度（CVSS 8.8）と評価されています。

1.1 影響

この脆弱性を悪用されると、認証された攻撃者がネットワーク経由で任意のコードを実行できる可能性があります。さらに、他の脆弱性（例えば、認証バイパスの脆弱性 CVE-2026-55040など）と組み合わせることで、匿名アクセスから認証前のリモートコード実行（Pre-Auth RCE）を達成し、メモリ上にWebシェルを展開することも可能となります。メモリ上のWebシェルは、従来のファイルベースの検出ツールや通常のサーバー検査による検出を回避するように設計されており、永続的な制御を可能にします。

1.2 深刻度

  • NVD（National Vulnerability Database）による評価: CVSS 8.8 (HIGH)
  • Microsoftによる初期評価: CVSS 6.5 (MEDIUM)（なりすまし脆弱性として）

2. 対象となる環境

2.1 影響を受けるOSバージョン

直接的に影響を受けるOSバージョンは特定されていませんが、以下のMicrosoft SharePoint Serverのバージョンが影響を受けます。 * SharePoint Server 2016 * SharePoint Server 2019 * SharePoint Server Subscription Edition * SharePoint 2013も影響を受けますが、2023年4月以降はサポートが終了しているため、セキュリティアップデートは提供されていません。

2.2 影響を受ける設定

この脆弱性は、SharePointがサーバーサイドのコントロールをSafeControlsリストでチェックする方法に起因します。具体的には、ToolPaneコンポーネントがウェブパーツのマークアップを処理する際に、Registerディレクティブを再構築する際に引用符をエスケープせずに属性値を書き込むため、攻撃者が追加のディレクティブを挿入し、型チェック後に任意の.NETクラスを登録することが可能になります。

特に、匿名ページアクセスを許可するように構成されたSharePointサーバーでは、認証バイパスの脆弱性と連鎖させることで認証前のRCEにつながる可能性があります。

3. 影響を受けた時の兆候

この脆弱性が悪用された際の明確な「兆候」（例：特定のエラーメッセージやシステムクラッシュ）は、公開情報には記載されていません。しかし、攻撃が成功した場合、不正なコード実行やインメモリWebシェルの展開が行われるため、通常の監視では検出されにくい可能性があります。予期せぬサーバーの動作やパフォーマンスの低下、または不審なネットワーク通信などが間接的な兆候となる可能性はありますが、直接的なものとしては不明です。

4. 推奨対策

4.1 本対策

Microsoftは、2026年8月11日のセキュリティアップデートでこの脆弱性に対応しています。 * Microsoftの公式アップデートの適用: 関連するセキュリティ更新プログラム（例: KB5002893）を、すべてのSharePointファームに直ちに適用してください。このアップデートにより、RegisterDirective.GetHtml()における二重引用符のパラメータがサニタイズされ、脆弱なToolPane.GetPartPreviewAndPropertiesFromMarkup()機能がデフォルトで無効になります。

4.2 暫定回避策（緩和策）

  • 匿名アクセスの制限: 公開されているSharePoint WebPartエンドポイントへの匿名アクセスを制限してください。
  • 最新のパッチ適用: サポートされているすべてのサーバーが最新の累積的なセキュリティパッチを適用していることを確認してください。

他に解説すべき観点

  • 脆弱性の根本原因: この脆弱性は、SharePointのSafeControlsリストの保護をバイパスする、コード生成の不適切な制御（「コードインジェクション」、CWE-94）に起因します。特に、ToolPaneコンポーネントがウェブパーツのマークアップを処理する際に、Registerディレクティブを再構築する際に引用符をエスケープせずに属性値を書き込む設計上の欠陥が悪用されます。
  • エクスプロイト状況: 現時点では、この脆弱性の「野外での悪用（in-the-wild exploitation）」は報告されていません。ただし、完全なエクスプロイトマークアップはすでに公開されており、研究者によって侵入テストで使用された実績があります。カナダのサイバーセキュリティセンター（Cyber Centre）は、この脆弱性の積極的な悪用を認識していると発表しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る