Trusted Design

CVE-2026-50522 の詳細

CVEの情報

説明:
Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network.

CVE更新日: 2026-07-14 17:17:01.547000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-07-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.030420000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-50522に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-50522は、Microsoft SharePoint Serverにおける、信頼できないデータのデシリアライゼーションの脆弱性（CWE-502）です。認証されていない攻撃者が、細工されたシリアル化ペイロードをネットワーク経由で送信することで、安全でないオブジェクトのデシリアライゼーションをトリガーできます。これにより、SharePointサービスアカウントのコンテキストでリモートコード実行（RCE）が可能になります。

1.1 影響

  • 認証されていないリモートコード実行により、コラボレーションインフラストラクチャの完全な侵害、資格情報の窃取、および接続されたMicrosoft 365およびActive Directory環境への横展開が可能になります。
  • 機密情報への不正アクセス、悪意のあるコンポーネントの展開、SharePointコンテンツの変更、コラボレーションサービスの妨害、基盤となるサーバーのさらなる侵害につながる可能性があります。
  • 攻撃者は、マシンキーの抽出、資格情報のダンプ、Webシェルの展開、および環境へのより深い侵入を実行できます。

1.2 深刻度

  • 深刻度はCriticalであり、CVSS v3.1基本スコアは9.8です。
  • CISAは、積極的に悪用されている証拠に基づき、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しました。
  • EPSS（Exploit Prediction Scoring System）スコアは0.854（85.4%）であり、30日以内に悪用される確率が高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft SharePoint Serverオンプレミス展開が影響を受けます:

  • Microsoft SharePoint Server Subscription Edition: バージョン 16.0.19725.20434 より前
  • Microsoft SharePoint Server 2019: バージョン 16.0.10417.20175 より前
  • Microsoft SharePoint Enterprise Server 2016: バージョン 16.0.5561.1001 より前
    • 注: SharePoint Server 2016および2019は、サポート終了（EOL）ステータスに達しており、悪用に対する脆弱性が増しています。

2.2 影響を受ける設定

  • 脆弱性は、ネットワークからアクセス可能なエンドポイントを介して受信したシリアル化された.NETオブジェクトのSharePoint Serverの処理に存在し、特にクレームベース認証フローエンドポイントである/ _trust/default.aspxが関係しています。
  • SessionSecurityTokenHandlerクラス内でのユーザー提供データのデシリアライゼーションにおける不十分な検証と、安全でないBinaryFormatterメソッドの使用が根本原因です。
  • 脆弱なコードパスに到達するために、ユーザー操作や事前の認証は必要ありません。

3. 影響を受けた時の兆候

  • 不正な.aspxファイルの存在
  • 疑わしいw3wp.exe子プロセスの実行
  • / _trust/default.aspxへの異常なHTTPリクエスト
  • w3wp.exeでのリフレクティブ.NETアセンブリのロード
  • SharePointサーバーログにおける異常なデシリアライゼーションアクティビティまたは予期しないプロセス実行
  • 悪意のある.NETアセンブリやWebシェルの展開
  • システム情報の漏洩
  • マシンキーの抽出の試み

4. 推奨対策

4.1 本対策

  • SharePoint Server Subscription Edition、2019、および2016用のMicrosoftセキュリティ更新プログラムを直ちに適用してください。
    • SharePoint Server Subscription Edition: 16.0.19725.20434以降にアップグレード
    • SharePoint Server 2019: 16.0.10417.20175以降にアップグレード
    • SharePoint Enterprise Server 2016: 16.0.5561.1001以降にアップグレード

4.2 暫定回避策（緩和策）

  • SharePointフロントエンドのインターネット公開を制限し、認証リバースプロキシまたはVPNの背後に配置してください。
  • / _trust/default.aspxエンドポイントへのネットワークアクセスを信頼できるIDプロバイダーのIPアドレスに制限してください。
  • パッチ適用後に、特に侵害が検出された場合は、SharePointのマシンキーをローテーションして、以前に盗まれたValidationKeyまたはDecryptionKeyを無効にしてください。
    • 重要: パッチを適用してもマシンキーは変更されません。パッチ適用前にサーバーが侵害された場合、攻撃者はパッチ適用後もマシンキーを使用して永続性を維持できる可能性があります。
  • SharePointサーバーログで、異常なデシリアライゼーションアクティビティや予期しないプロセス実行がないか監視してください。
  • IISワーカープロセス（w3wp.exe）で疑わしいメモリ内アセンブリのロードがないか脅威ハンティングを実施し、詳細な分析のためにw3wp.exeプロセスのメモリをダンプまたはスキャンすることを検討してください。
  • 直ちにパッチを適用できない場合は、組織の外部から認証されていないインバウンド接続をブロックすることで、SharePointインスタンスへのネットワークアクセスを境界で制限してください。

その他解説すべき観点

  • CISAによるKEVカタログへの追加: CISAはCVE-2026-50522を既知の悪用されている脆弱性（KEV）カタログに追加しており、連邦政府機関に対して迅速な修復を義務付けています。CISAはすべての組織に対し、KEVカタログに記載されている脆弱性の修復を優先することを推奨しています。
  • 公開されたPoC: 公開されたプルーフオブコンセプト（PoC）エクスプロイトコードがリリースされており、これにより悪用活動が活発化しています。
  • 攻撃の複雑性: 攻撃の複雑性は低く、攻撃者はシステムに関する高度な知識を必要としません。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る