CyberSecurityAction

脆弱性情報 / 日本関連インシデント

【緊急】2026年7月Microsoftパッチ - SharePoint・AD FSの脆弱性が悪用中（CVE-2026-56164、CVE-2026-56155）

マイクロソフトが2026年7月の月例パッチで修正したSharePoint ServerおよびActive Directory フェデレーションサービスの特権昇格脆弱性2件が、パッチ公開時点で既に悪用されていることが確認されている。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
【緊急】2026年7月Microsoftパッチ - SharePoint・AD FSの脆弱性が悪用中（CVE-2026-56164、CVE-2026-56155）

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）9.0
EXPLOIT（悪用の容易さ）7.5

“パッチ公開時点で悪用確認済み。企業内AD環境に広く影響”

01 · Overview

ニュースの概要

マイクロソフトは2026年7月15日、月例セキュリティ更新プログラムを公開した。このパッチには、SharePoint Server の特権昇格脆弱性（CVE-2026-56164）および Active Directory フェデレーション サービス（AD FS）の特権昇格脆弱性（CVE-2026-56155）が含まれており、両脆弱性ともパッチ公開時点で実際に悪用されていることが確認されている。JPCERT/CCは同日、緊急の注意喚起（JPCERT-AT-2026-0020）を発行した。

CVE-2026-56164はSharePoint Serverにおける特権昇格の脆弱性であり、攻撃者がこれを悪用した場合、本来許可されていない高い権限でSharePoint上の操作を実行できる可能性がある。SharePointは日本企業の多くで社内ポータルや文書管理基盤として採用されており、悪用された場合の業務影響は甚大だ。

CVE-2026-56155はAD FSの特権昇格脆弱性であり、フェデレーション認証を利用したシングルサインオン（SSO）環境での不正なトークン発行や認証バイパスにつながる可能性がある。AD FSはOffice 365やクラウドサービスへの認証基盤として広く利用されているため、悪用された場合のインパクトはID管理全体に及ぶ。

両脆弱性ともマイクロソフトは悪用の確認を公表しているが、攻撃の規模や攻撃者の属性など詳細は現時点で調査継続中となっている。

CVE（SharePoint）
CVE-2026-56164
CVE（AD FS）
CVE-2026-56155
脆弱性種別
特権の昇格（いずれも）
悪用状況
パッチ公開時点で悪用確認
JPCERT注意喚起
JPCERT-AT-2026-0020
パッチ公開日
2026年7月15日

JPCERT-AT-2026-0020およびマイクロソフト公式MSRCに基づく。詳細な攻撃規模・攻撃者帰属は調査継続中。

02 · Analysis

詳細な原因解説

CVE-2026-56164（SharePoint）の技術的詳細はマイクロソフトのMSRCに掲載されているが、SharePoint Serverにおける権限チェックの不備が原因と考えられる。SharePointは複雑なACL（アクセス制御リスト）とロールモデルを持ち、特定の条件下でこれらのチェックが適切に行われないパスが存在した可能性がある。

CVE-2026-56155（AD FS）はフェデレーション認証の設計上、トークン生成・検証プロセスに関わる脆弱性である可能性が高い。AD FSを使用した環境ではSSOチェーンの一点が突破されることで、連携する多数のサービスへの不正アクセスにつながりやすい構造的リスクがある。

両脆弱性ともパッチ公開前から悪用されていた、いわゆる「ゼロデイ悪用」の形態を取っており、脆弱性情報の事前漏洩や内部関係者による情報共有などが考えられる。日本のセキュリティ実務者にとっては、パッチ適用前の被害調査も並行して行う必要がある点に注意が必要だ。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER：AD FS特権昇格の攻撃チェーン発展を予測

Q. 攻撃者はCVE-2026-56155（AD FS）をどのように他の攻撃と組み合わせて発展させるか？

【Combine（組合せ）】AD FSトークン偽造とAzure ADのAPIアクセスを組み合わせることで、Microsoft 365全体へのデータ窃取が可能になる。Lapsus$やNocturnus等のグループが過去に同様の手法を用いている。【Modify（変形）】SAML Slurping（SAML断片収集）攻撃の手法を変形し、AD FSのトークン検証をバイパスした長寿命トークンの発行を試みる亜種が登場する可能性がある。【Put to other uses（転用）】フェデレーション先のSaaSアプリ（Salesforce、Workday等）への横断移動（ラテラルムーブメント）の起点として悪用し、クラウド環境でのデータ窃取に転用される恐れがある。

システム思考：企業ID基盤の侵害が引き起こすカスケード障害

Q. AD FSが侵害された場合、組織のシステム全体にどのような連鎖障害が生じるか？

AD FSは認証の「要（かなめ）」であり、一点が突破されると連携するすべてのサービスへの信頼チェーンが崩壊する。特に日本企業で多く見られる「オンプレAD→AD FS→Office 365→業務SaaS」という多段フェデレーション構成では、AD FS侵害が即座にメール・Teams・ERP・CRMへの不正アクセスへと波及する。侵害が長期化すると、被害調査のためにAD FSを停止させる判断が必要になり、全社的な業務停止というより大きなシステム障害を生むジレンマが生じる。

AD FS侵害リスクを低減する追加ハードニング

パッチ適用が最優先ですが、並行してAD FSのExtranet Lockout（エクストラネットロックアウト）機能が有効になっているか確認し、ブルートフォース攻撃に対する保護を強化してください。

Azure AD Connect Healthを使用してAD FSの動作状況をリアルタイム監視し、異常なトークン発行量やエラーパターンを即座に検知できる体制を整備することを推奨します。

06 · AI Prompt

AI対策プロンプト

あなたは[組織種別]のセキュリティ担当者です。自社では[利用サービス]でAD FSを用いたSSO環境を運用しています。 今回のCVE-2026-56155（AD FS特権昇格）の悪用確認を受け、以下を実施してください： 1. 過去30日分のAD FSイベントログ（イベントID 411、412、500、501）で不審な認証パターンを特定するための検索クエリ（KQL形式）を生成する 2. 侵害の痕跡（IoC）として確認すべき項目をリストアップする 3. 経営層への報告において「影響を受けたサービス範囲はまだ調査中」という状況を適切に伝えるメッセージ例を作成する アウトプットは技術担当者と経営層の両方が参照できる形式で。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自社の組織種別を入力してください（例：製造業の上場企業、地方自治体等）

AD FSでフェデレーションしているサービスを入力してください

キーワード

  • CVE-2026-56164
  • CVE-2026-56155
  • SharePoint
  • AD FS
  • 特権昇格

SOURCES · 参考情報源