CyberSecurityAction

脆弱性情報 / サイバー攻撃トレンド

SharePoint RCE脆弱性 CVE-2026-50522（CVSS 9.8）がPoC公開後に悪用拡大——即時パッチ必須

Microsoft SharePoint Serverの未認証リモートコード実行脆弱性（CVSS 9.8）でPoC公開後に実際の悪用が確認された。2026年7月パッチ適用済みか即時確認が必要。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
SharePoint RCE脆弱性 CVE-2026-50522（CVSS 9.8）がPoC公開後に悪用拡大——即時パッチ必須

THREAT GAUGE算出基準

IMPACT（影響範囲）9.0
URGENCY（対応緊急度）9.5
EXPLOIT（悪用の容易さ）9.5

“CVSS 9.8+PoC公開+悪用確認済み。オンプレ環境は即時パッチ適用が必要。”

01 · Overview

ニュースの概要

Microsoft SharePoint Serverに存在するリモートコード実行（RCE）脆弱性 CVE-2026-50522（CVSS スコア 9.8）について、2026年7月のPatch Tuesday後にPoC（概念実証コード）が公開され、野外での悪用が確認された。セキュリティ研究機関watchTowrが実際の悪用を報告しており、未パッチのSharePointサーバーが早急な対応を要する状況となっている。

本脆弱性はMicrosoft Office SharePointにおける「信頼できないデータのデシリアライゼーション」の問題であり、認証なしでネットワーク越しに任意コードを実行できる。CVSSスコアは最高クラスの9.8を記録している。Microsoftは2026年7月のPatch Tuesdayで修正パッチを公開し、DEVCOREが発見者としてクレジットされている。

7月21日時点でPoCコードが研究者コミュニティに公開されたことを受け、悪用の試みが急増している。SharePointはオンプレミス型の企業内情報共有システムとして日本国内でも広く利用されており、特に公共機関・製造業・金融機関での利用が多い。

Microsoft 365（クラウド版SharePoint Online）は自動的に更新されているため影響を受けないが、オンプレミスのSharePoint Server 2019/Subscription Editionを運用している組織は手動パッチ適用が必要となる。

CVE番号
CVE-2026-50522
CVSSスコア
9.8（Critical）
脆弱性種別
未認証RCE（デシリアライゼーション）
PoC公開
2026年7月21日確認
パッチ公開日
2026年7月パッチチューズデー
クラウド影響
SharePoint Online（M365）は影響なし

watchTowr・The Hacker News報告に基づく。Microsoftの公式CVEページで最新情報を確認すること。調査継続中。

02 · Analysis

詳細な原因解説

今回の脆弱性の根本原因は、SharePoint Serverがネットワーク越しに受け取ったシリアライズ済みデータを、送信元の信頼性を確認せずに復元（デシリアライズ）してしまうことにある。.NETのデシリアライゼーション処理は強力であるがゆえに危険であり、攻撃者が細工したデータを送り込むことでSharePointのプロセス権限でOSコマンドを実行できてしまう。

シリアライゼーション脆弱性はSharePointを含むMicrosoft製品で過去にも繰り返し発見されており（CVE-2019-0604、CVE-2020-0646など）、根本的な対策のためにはコードレベルでの安全なデシリアライズ処理への移行が必要だが、レガシーコードの多いSharePointでは困難なため脆弱性が残存しやすい構造がある。

PoCが公開されたことにより、高度な技術なしに攻撃を再現できるようになった。PoCの質によっては数時間以内に自動化スクリプトが大規模スキャンに使われるため、パッチ未適用の組織にとって時間的な猶予はほぼない状態となっている。

日本の企業環境ではSharePoint 2019をイントラネット上で運用しているケースが多く、VPN外からのアクセスを遮断している場合でも、内部ネットワークに一度侵入した攻撃者によるラテラルムーブメントのターゲットとして狙われるリスクがある。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER: SharePoint攻撃の進化シナリオ

Q. 攻撃者はこのRCE脆弱性をどのように他の手法と組み合わせ、被害を拡大するか？

Combine（組み合わせ）：攻撃者はSharePointへのRCEをVPNや内部NWへの初期侵入として利用し、その後にActive Directoryへのラテラルムーブメント、さらにランサムウェア展開というチェーンを構築する。これはすでに複数のランサムウェアグループが採用しているパターンである。Substitute（代替）：外部公開されていないSharePointでも、フィッシングで内部ユーザーの端末を侵害した後、内部ネットワーク経由でSharePointを攻撃するというベクタに置き換えられる。Eliminate（削除）：攻撃のステルス化が進んでおり、ログに残りにくいLOLBAS（Living Off the Land Binaries）技術と組み合わせて侵害の証拠を最小化するケースが増えている。

システム思考: デシリアライゼーション脆弱性の構造的問題

Q. SharePointでデシリアライゼーション脆弱性が繰り返し発生する構造的な要因は何か？

SharePointは20年以上の歴史を持つエンタープライズ製品であり、.NETの古いBinaryFormatterなどの危険なデシリアライゼーションAPIに依存したレガシーコードが多数存在する。Microsoftは新しいコードでの安全なデシリアライズへの移行を進めているが、後方互換性の維持が必要なため完全移行が困難という正のフィードバックループが存在する。企業側では「オンプレ維持コスト最小化」という圧力がパッチ適用の遅延を生み、攻撃者に悪用の機会を与えるという悪循環が続いている。根本解決はクラウドへの移行か、厳密なネットワーク分離の組み合わせによる被爆面の縮小である。

パッチ適用前後にすぐ実装できる防御策

最優先はパッチの適用であるが、業務停止が難しい場合の暫定策として、SharePointサーバーの公開インターフェースをVPN必須とし、インターネットから直接アクセスできない構成に変更することが有効である。

WAFにCVE-2026-50522向けのカスタムルールを設定し、不審なデシリアライゼーション要求をブロックする。また、SharePointサービスアカウントの権限を最小化し、OSコマンド実行権限を持たない専用アカウントで動作させることで、RCEが成功しても被害を限定できる。

06 · AI Prompt

AI対策プロンプト

あなたはMicrosoftのセキュリティ専門家です。[組織名]（[業種]）では[SharePointのバージョン]をオンプレミスで運用しています。 CVE-2026-50522（SharePoint RCE、CVSS 9.8）の悪用が確認されたことを踏まえ、以下を分析してください： 1. [組織名]の環境でこの脆弱性が悪用された場合の最悪シナリオ（3段階） 2. 緊急パッチ適用の手順と注意点（[SharePointのバージョン]固有の考慮事項を含む） 3. パッチ適用までの暫定対策リスト（優先順） 4. 経営層への緊急報告テンプレート（400文字以内）

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

あなたの組織・会社名

業種（例：製造業、金融、公共機関等）

運用中のSharePoint Serverバージョン

キーワード

  • SharePoint RCE
  • CVE-2026-50522
  • デシリアライゼーション
  • Patch Tuesday
  • オンプレミス脆弱性

SOURCES · 参考情報源