SharePoint Serverの認証済みRCE(CVE-2026-45659)。KEV収録を受けた対応の優先度

Microsoft SharePoint Serverに、信頼できないデータのデシリアライゼーションに起因するリモートコード実行の脆弱性CVE-2026-45659が見つかりました。認証済みで権限の低い利用者が、ネットワーク経由でサーバー上にコードを実行できる状態になります。CVSS v3.1の基本値は8.8です。2026年7月1日、米CISAがこの脆弱性を既知の悪用された脆弱性(KEV)カタログへ収録し、実際の悪用が確認されました。

この記事は、SharePoint Serverを運用する情報システム担当に向けて、なぜこの脆弱性が更新プログラムの適用と侵害調査を急ぐべき対象なのかを、NVDとMicrosoftのアドバイザリ、CISA KEVをもとに整理します。あわせて、個別のCVE対応で終わらせず、KEV収録を起点にした優先度づけへつなげる判断のかたちを示します。

信頼できないデータのデシリアライゼーションでコードが走る仕組み#

CVE-2026-45659はCWE-502(Deserialization of Untrusted Data)に分類されます。デシリアライゼーションは、ネットワークやファイルから受け取ったバイト列を、プログラム内部のオブジェクトへ復元する処理です。この復元の際に、入力されたデータの型や中身を十分に検証しないと、攻撃者が細工したデータがそのまま復元され、意図しない処理やコード実行につながります。

NVDの説明では、この脆弱性は認証済み(authorized)の攻撃者にネットワーク経由でのコード実行を許すものとされています。Microsoftのアドバイザリによれば、権限要件は低く、最小でSite Member権限を持つ認証済み利用者が悪用し得ます。管理者権限を必要としないため、正規に付与された一般利用者のアカウントが起点になり得る点が、この脆弱性の扱いを重くしています。

影響を受ける版と修正プログラム#

影響を受ける製品と、修正が含まれるビルド、対応する更新プログラムは次のとおりです。自組織のSharePoint Serverが該当するかを、まず製品と現行ビルドで確認します。

修正は2026年5月のセキュリティ更新プログラムで提供されました。ビルド番号とKBは執筆時点でMicrosoftのアドバイザリに掲載されている値です。適用の前提や手順は公式のアドバイザリと各KBの記載に従います。なお、SharePoint Server 2016とSharePoint Enterprise Server 2016には同じKBが適用されます。

NVDはCVE-2026-45659を、認証済み利用者にネットワーク経由のコード実行を許すCWE-502(信頼できないデータのデシリアライゼーション)として登録し、CVSS v3.1基本値8.8(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)を掲載しています。影響を受ける版と修正ビルド、更新プログラムの番号はMicrosoftのアドバイザリを一次ソースとします。

KEV収録が示す悪用の確認と期限の位置づけ#

CISAのKEV(Known Exploited Vulnerabilities)カタログは、悪用が確認された脆弱性だけを収録します。掲載されていること自体が、対応を急ぐ根拠になります。CVE-2026-45659は2026年7月1日にKEVへ収録されました。同日のCISAアラートでも、SharePoint Serverのデシリアライゼーション脆弱性として案内されています。

KEVには対応期限が付きますが、これは米連邦政府の文民行政機関に向けて定められるものです。CVE-2026-45659の期限は2026年7月4日と設定されました。民間の組織に同じ期限が義務として課されるわけではありません。ただし悪用が確認されている以上、民間にとっても緊急対応の目安として扱うのが妥当です。

境界機器での類例として、Ivanti Sentryの未認証RCEをKEV収録から整理した記事があります。

あわせて読みたい

Ivanti SentryのCVE-2026-10520が示す、境界アプライアンスの未認証RCEへの向き合い方

運用担当がとる初動の順序#

認証済み経路の脆弱性であっても、悪用が確認されている以上、適用と調査を並行して進めます。次の順序で手を付けます。

侵害の可能性を認めた後の対応の流れは、初動対応の記事で整理しています。

あわせて読みたい

インシデント発生時の初動対応。最初の1時間で何をするか

KEVを起点にした優先度づけ#

膨大な既知脆弱性の中で何から着手するかを決めるとき、KEV収録の有無は有力な判断材料になります。SharePoint Serverのように、社内外の多くの利用者が認証して使うグループウェア基盤で、外部に面していることも多い資産は、認証済みRCEであっても優先度を上げて扱う理由があります。認証の壁が突破の障害にならない攻撃者にとって、正規アカウントの一つは十分な足がかりになるためです。

KEVの位置づけと、EPSSなどを組み合わせた優先度づけの考え方は、次の記事で詳しく扱っています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

更新プログラムの適用を組織の運用に定着させることが、こうした事案への基本的な備えになります。日々の更新管理の重要性は、次の記事でまとめています。

あわせて読みたい

ソフトウェア更新が脆弱性を塞ぐ仕組みと放置したときのリスク

なお、脆弱性の検証は自組織が管理する環境に限って行い、他者の機器やサービスへの無断のアクセスや検査は不正アクセス禁止法などの関連法令に触れるため行いません。悪用手順の詳細をここで示さないのも同じ理由からです。

まとめ#

CVE-2026-45659は、信頼できないデータのデシリアライゼーションによって、認証済みで権限の低い利用者にコード実行を許す脆弱性です。CVSSは8.8で、2026年7月1日にKEVへ収録され、悪用が確認されました。対応の要点は、2026年5月の更新プログラムを確実に適用しつつ、露出面を絞り、適用前の侵害を前提に痕跡を調べることにあります。認証済み経路であるからこそ、アカウント権限と認証経路の見直しも欠かせません。個別のCVE対応にとどめず、KEVを起点にした優先度づけの運用として引き取ることが、次の同種の事案への備えになります。