SharePointの「ToolShell」（CVE-2025-53770）、公表から1年3か月でも悪用予測スコアはほぼ100% — 7月にサポートが終わった2016・2019版を社内に残していないか
社内に設置した Microsoft SharePoint Server を、認証なしで外部から乗っ取れる脆弱性 CVE-2025-53770（通称「ToolShell」、CVSS 9.8）は、2025年7月の公表から1年3か月が経った今も攻撃に使われ続けている。脆弱性が30日以内に悪用される確率を推定する指標 EPSS（FIRST が公開）では、2026年10月15日時点の値が 0.99999 で、全脆弱性の中で最上位の水準にある。修正プログラムは2025年7月に出ているため、いま狙われているのは「当てていない」「当てたが鍵を替えていない」「サポートが終わった版を使い続けている」サーバーである。SharePoint Server 2016 と 2019 は2026年7月14日で延長サポートが終わり、今後の脆弱性には修正が提供されない。
背景
CVE-2025-53770 は、社内設置型（オンプレミス）の SharePoint Server が外部から受け取ったデータを復元する処理（デシリアライズ）に不備があり、認証を経ずにサーバー上で任意のコードを実行できる脆弱性である。2025年7月の月例更新で修正された CVE-2025-49704 と CVE-2025-49706 の修正を回避する形で見つかり、同時に公表された CVE-2025-53771 と組み合わせて悪用された。Microsoft 365 の SharePoint Online は対象外である。
Microsoft のセキュリティブログ（2025年7月22日、以降更新）によると、2025年7月7日には攻撃の試みが始まっていた。中国を拠点とする国家系の攻撃グループ Linen Typhoon と Violet Typhoon に加え、Storm-2603 と呼ばれるグループが、侵入後にランサムウェア「Warlock」を展開したと報告されている。米CISA は2025年7月20日に、悪用が確認された脆弱性の一覧（KEV）へ追加した。
修正プログラムは次のとおりで、いずれも2025年7月に公開された。2019 と 2016 は本体と言語パックの両方を当てる必要がある。
- SharePoint Server Subscription Edition: KB5002768
- SharePoint Server 2019: KB5002754（本体）と KB5002753（言語パック）
- SharePoint Enterprise Server 2016: KB5002760（本体）と KB5002759（言語パック）
リスクの全体像
この脆弱性の怖さは、修正プログラムを当てただけでは終わらない点にある。攻撃者は侵入直後に spinstall0.aspx などの名前で小さなプログラム（Web シェル）を置き、サーバーの暗号鍵（ASP.NET のマシンキー）を盗み出していた。マシンキーは SharePoint が正規の通信かどうかを確かめるための鍵で、これを持つ攻撃者は、修正後のサーバーにも正規の通信を装って命令を送り込める。そのため Microsoft は、更新に加えてマシンキーの入れ替えと IIS（Web サーバー機能）の再起動を手順に含めている。2025年夏に「急いで更新だけ当てた」サーバーは、鍵を替えていなければ今も入口が開いたままの可能性がある。
もう1つの問題はサポート切れである。SharePoint Server 2016 と 2019 は2026年7月14日に延長サポートが終了した。ToolShell の修正自体は提供済みだが、今後同じ部品で新しい脆弱性が見つかっても修正は出ない。部署ごとのファイル共有やワークフローのために古い SharePoint を残し、インターネットから接続できる設定にしたまま、という構成が最も狙われやすい。
EPSS の値が高いことは、攻撃の自動化が進み、インターネット上の SharePoint が今も機械的に探されていることを意味する。公表から時間が経ったから安全、という理屈は成り立たない。
チェックリスト
- 自社や子会社、委託先に、社内設置型の SharePoint Server（Subscription Edition / 2019 / 2016、またはそれ以前の版）が残っているか
- そのサーバーにインターネットから接続できるか。社外から使うために公開していないか
- 上の修正プログラム（2019・2016 は言語パックを含む2本）が当たっているか。それ以降の月例更新も当たっているか
- 修正後に ASP.NET マシンキーを入れ替え、IIS を再起動したか。その日付を記録しているか
- SharePoint のフォルダ（Web Server Extensions 配下の 15 または 16\TEMPLATE\LAYOUTS）に spinstall0.aspx など見覚えのない .aspx ファイルが無いか
- ウイルス対策と連携する仕組み AMSI が有効で、Full Mode に設定されているか
- 2016 版・2019 版について、Subscription Edition か SharePoint Online への移行の期限を決めているか
打ち手
1番目は棚卸しである。SharePoint は部署単位で導入され、情報システム部門が把握していないことがある。サーバー一覧と、ファイアウォールの公開設定の両方から、社内設置型の SharePoint を洗い出す。
2番目は、修正とマシンキー入れ替えの確認である。修正プログラムが当たっていても、マシンキーを替えていなければ対策は完了していない。SharePoint の管理シェル（PowerShell）で Set-SPMachineKey を実行するか、サーバーの全体管理画面にある「Machine Key Rotation Job」を実行し、そのあと全台で IIS を再起動する。
3番目は侵害の確認である。2025年7月以降、更新やマシンキーの入れ替えが遅れていたサーバーは、侵入された前提で調べる。上の .aspx ファイルの有無に加え、IIS のログで ToolPane.aspx への外部からの POST 要求が無いかを確かめる。痕跡が見つかった場合は、サーバーをネットワークから切り離し、ログを保全してから専門の調査会社に相談する。ランサムウェアの展開まで進んだ事例があるため、社内の他のサーバーやドメインの管理者アカウントも調査の対象に含める。
4番目は移行である。2016 版・2019 版は、今後の脆弱性に修正が出ない。インターネットから接続できる状態のまま使い続けるのはやめ、社外からの利用は VPN 経由に限るなど接続元を絞ったうえで、Subscription Edition か SharePoint Online への移行時期を決める。
修正プログラムを当てても、盗まれた鍵がそのままなら侵入口は閉じていない
あわせて読みたい
- 2026年7月Microsoft月例更新 ― SharePointの悪用確認済み脆弱性3件とAD FS特権昇格への対処
- 【要対応】Microsoft SharePoint Server のデシリアライズ脆弱性 CVE-2026-45659 ― CISA KEV追加、認証済みRCEへの対応指針
- 侵入の8割が盗まれたIDになった ― 脆弱性を塞いでも入られる時代の防御
- 「見つける」より「直す」が詰まる ── 6〜12か月の猶予に企業がやるべき脆弱性対応
Omamori AI の結論
- 事実: SharePoint Server の CVE-2025-53770（ToolShell、CVSS 9.8）は2025年7月から悪用され、2026年10月15日時点でも EPSS は 0.99999 と最上位にある。SharePoint Server 2016・2019 は2026年7月14日に延長サポートが終わった。
- 判断軸: 社内設置型の SharePoint があるか、インターネットから接続できるか、修正後にマシンキーを替えたか、の3点で危険度が決まる。
- 打ち手: SharePoint の棚卸し、修正プログラムとマシンキー入れ替え・IIS 再起動の確認、Web シェルとログの調査、2016・2019 版の移行期限の決定。
経営者視点で考えるべきこと
1年以上前の脆弱性が今も攻撃の上位にあるのは、多くの組織で「更新を当てた」時点で対応を終えてしまったからである。ToolShell では、鍵の入れ替えまでやらなければ対策にならなかった。経営者が確認したい点は3つある。社内設置型の SharePoint が何台あり、誰が管理しているかを説明できる人がいるか。2025年夏の対応で、修正だけでなく鍵の入れ替えまで終えた記録が残っているか。サポートが終わった 2016・2019 版を、いつまでに、いくらかけて移行するかが決まっているか。SharePoint には契約書や設計資料など社外に出せない文書が集まるため、侵入されると情報の流出と業務停止の両方が起きる。
