2026年7月Microsoft月例更新 ― SharePointの悪用確認済み脆弱性3件とAD FS特権昇格への対処
2026年7月のMicrosoft月例更新では、SharePoint Serverの悪用確認済み脆弱性3件とAD FSの特権昇格が同時に顕在化した。特にCVE-2026-50522に起因するマシンキー窃取は、パッチ適用後も攻撃継続を可能にする性質を持ち、侵害有無の調査なき更新適用は不完全な対処にとどまる。
背景
Microsoftは2026年7月14日（現地時間）に月例セキュリティ更新プログラムを公開した。同日、SharePoint Server 2019およびSharePoint Server 2016の製品サポートが終了している。JPCERT/CCは7月15日にJPCERT-AT-2026-0020を公開し、SharePoint Server利用組織への速やかな対策と侵害調査を推奨した。その後、7月31日付の更新でCVE-2026-58644（Microsoft SharePointのリモートコード実行）について「悪用を確認」ステータスへ変更された。並行してCVE-2026-50522は米CISAのKEVカタログに登録され、セキュリティ研究者による実証コードとみられる情報が公開された。watchTowrは自社ハニーポットでCVE-2026-50522を用いた攻撃を観測し、SharePoint Serverからマシンキーが窃取されたことを示す情報を公開している。
リスクの全体像
今回の悪用確認済み脆弱性は性質が異なる三層で構成される。第一に、CVE-2026-56164（SharePoint特権昇格）とCVE-2026-56155（AD FS特権昇格）は、認証済み低権限ユーザーが管理権限を取得する経路となる。AD FSを経由した特権昇格は、フェデレーション信頼先のクラウドサービスや他ドメインへの横断移動につながりうる。第二に、CVE-2026-58644とCVE-2026-50522はリモートコード実行であり、外部からの初期侵入口となる。第三に、最も見落とされやすいのがマシンキー窃取の後遺症である。ASP.NET machineKeyが攻撃者に取得された場合、署名済みViewStateやセッションペイロードを偽造してパッチ適用済みサーバーへ再侵入できる。これにより「更新適用完了＝復旧」とはならず、マシンキーのローテーションと侵害痕跡の排除が別途必要になる。
チェックリスト
- CVE-2026-50522・CVE-2026-58644・CVE-2026-56164に対応する7月分セキュリティ更新プログラムがSharePoint Server全台に適用済みであることをMicrosoft Update カタログで番号照合して確認する
- SharePoint ServerのWeb.configおよびマシンレベル設定に含まれるmachineKey（validationKey・decryptionKey）を新規生成した値に差し替え、IISを再起動する
- SharePointのルートフォルダおよびレイアウトフォルダ配下に不審な.aspxファイルやWebシェルが設置されていないか、更新日時と内容で精査する
- AD FSのトークン署名証明書・トークン暗号化証明書、およびServerToServer（S2S）信頼設定に不審な変更が加えられていないかイベントログとAD FS管理コンソールで確認する
- SharePoint Serverの管理者グループおよびFarm Administratorsに対し、月例更新公開前後の期間を含めて不審なアカウント追加・権限変更がないかActive Directoryのセキュリティイベントログで確認する
- SharePoint Server 2016・2019を本番環境で継続稼働させている場合、サポート終了製品として扱い、SharePoint Server Subscription EditionまたはMicrosoft 365への移行計画を取締役会に諮る
打ち手
優先順位は次の順で実施する。①Microsoft Update / Windows Updateまたはカタログから7月分更新プログラムを適用する（最優先）。②更新適用と同日中にmachineKeyをローテーションし、IISを再起動する。③パッチ適用前の期間を遡及してSharePoint上の不審な.aspxファイルとIISアクセスログを調査し、外部からのViewState送信・不審なPOSTリクエストを特定する。④AD FSの署名証明書と権限変更の有無を確認し、異常があればトークン署名証明書を更新する。⑤SharePoint 2016・2019はサポート終了製品となったため、移行計画を文書化し経営層の承認を得る。検出された侵害の痕跡はJPCERT/CCへの報告対象として記録する。
更新適用だけでは、窃取済みのmachineKeyは無効化されない。
あわせて読みたい
- 【要対応】Microsoft SharePoint Server のデシリアライズ脆弱性 CVE-2026-45659 ― CISA KEV追加、認証済みRCEへの対応指針
- Microsoft 月例セキュリティ更新（2026 年 4 月）— 優先度判定の観点
- 【要確認】PAN-OS GlobalProtect のコマンドインジェクション CVE-2024-3400（CVSS 10.0）― 無認証RCE、パッチ適用状況の再点検を
Omamori AI の結論
- 事実: 2026年7月14日公開の月例更新でSharePoint Serverの悪用確認済み脆弱性が3件（CVE-2026-56164・CVE-2026-58644・CVE-2026-50522関連）とAD FS特権昇格（CVE-2026-56155）が公表された。CVE-2026-50522はKEV登録済みで実攻撃によるマシンキー窃取が観測されており、SharePoint Server 2016・2019は同日サポート終了している。
- 判断軸: マシンキーが窃取されている環境ではセキュリティ更新の適用単体では侵害継続を防げない。侵害有無の確認とmachineKeyのローテーションはパッチ適用と同等の優先度で扱うべき対処であり、「更新適用完了」を復旧と判断するリスクを組織内で共有する必要がある。
- 打ち手: 7月分更新適用→machineKeyローテーション・IIS再起動→Webシェル・不審.aspxの探索→AD FS証明書と権限変更の確認→SharePoint 2016・2019の移行計画策定、の順で実施し、各ステップを記録する。
経営者視点で考えるべきこと
SharePoint Serverは契約書・稟議・営業資料など機密性の高い文書を集約することが多く、侵害時の情報漏えいは個人情報保護法や業法上の報告義務・損害賠償リスクに直結する。今回のマシンキー窃取は「パッチ適用後も再侵入が可能な状態が継続する」という点で、取締役会が「更新適用完了で終了」と誤認すると善管注意義務上の判断ミスとなりうる。またSharePoint Server 2016・2019のサポート終了は今後セキュリティ更新が提供されないことを意味し、同製品を放置するリスクは累積的に増大する。移行コストとインシデント対応コスト・レピュテーション損失を比較したROI評価を文書化し、移行判断を経営アジェンダに載せることが事業継続性の観点から合理的な対応である。
出典: JPCERT/CC 注意喚起
