CVE-2026-50522｜SharePoint RCE の公開 PoC 悪用と対処の手順

はじめに

2026 年 7 月 14 日（米国時間）の月例セキュリティ更新プログラムで修正された Microsoft SharePoint Server のリモートコード実行（RCE）脆弱性 CVE-2026-50522 が、公開 PoC（実証コード）の登場を受けて実際の悪用が始まっています。深刻度は CVSS 9.8（Critical）です。

この脆弱性は、同じ 7 月に修正された一連の SharePoint 脆弱性の 1 つで、権限昇格の CVE-2026-56164、デシリアライゼーション RCE の CVE-2026-58644 と同じ攻撃キャンペーンの文脈にあります。前 2 件がすでに CISA KEV に登録済みであるのに対し、本脆弱性は悪用が観測されているにもかかわらず、本記事執筆時点（2026 年 7 月 23 日）では KEV に未登録という、対応判断が難しい状況にあります。

先に結論をまとめます。本脆弱性は認証をめぐる記述に幅があるものの、ネットワーク経由の RCE であり、公開 PoC の登場後に悪用が観測されています。KEV 未登録を対応の遅延理由とすべきではありません。修正は今月の SharePoint 向け更新プログラムの適用で、これは CVE-2026-56164 と同一の KB です。すでに今月分を適用済みであれば本脆弱性も修正されていますが、悪用の主目的がマシンキー窃取であるため、パッチ適用に加えてマシンキーの窃取有無の確認とローテーションを検討することを推奨します。

CVE-2026-50522 の概要（SharePoint デシリアライゼーション RCE）

CVE-2026-50522 は、SharePoint Server における信頼できないデータのデシリアライゼーション（CWE-502: Deserialization of Untrusted Data）に起因する RCE 脆弱性です。ペアの関係にある CVE-2026-58644 と同じ脆弱性クラスで、いずれも CVSS 9.8 です。デシリアライゼーション RCE の仕組みそのものについては、関連記事『CVE-2026-58644｜SharePoint デシリアライゼーション RCE の悪用格上げと対処』で解説していますので、あわせて参照してください。

参考: Microsoft Security Response Center（CVE-2026-50522）
“Deserialization of untrusted data in Microsoft Office SharePoint allows an unauthorized attacker to execute code over a network.”
（Microsoft Office SharePoint における信頼できないデータのデシリアライゼーションにより、攻撃者がネットワーク経由でコードを実行可能になります）
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522

CVSS 3.1 のベーススコアは 9.8、ベクター文字列は CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。公開当初、Microsoft は悪用可能性を「Exploitation More Likely（悪用の可能性がより高い）」、悪用成熟度を「Unproven（実証されていない）」と評価していました。この評価は、後述する PoC 公開と悪用観測によって、実態が追い越した形になっています。

発見者としては、台湾のセキュリティ研究チーム DEVCORE の splitline（@splitline）氏が Trend Zero Day Initiative 経由でクレジットされています。前 2 件がインシデント対応組織（DART・Mandiant）による実攻撃からの発見だったのに対し、本脆弱性は研究者による協調的脆弱性開示で報告されたもので、Pwn2Own Berlin で実証された経緯を持ちます。当初は悪用が確認されていなかったのは、この発見経路の違いによるものです。

CWE-502 と攻撃の技術的な流れ

本脆弱性の悪用では、SharePoint のフェデレーション認証に関わるサインインエンドポイント（/_trust/default.aspx）が入口として使われることが、複数のセキュリティベンダーの分析で報告されています。攻撃は、このエンドポイントに対して細工したトークンを含むリクエストを送り、SharePoint 側の安全でないデシリアライゼーション処理を通じて任意コード実行に至る、という流れです。

技術的な鍵となるのが、ASP.NET の BinaryFormatter によるデシリアライゼーションです。BinaryFormatter は任意の型を復元できる性質から、信頼できない入力に対して使用すると危険であることが以前から知られており、SharePoint に繰り返し現れているデシリアライゼーション脆弱性の背景にもこの仕組みがあります。本記事では悪用を助長しないため、これ以上の具体的なペイロード構造や手順には立ち入りませんが、攻撃の成立にマシンキー（後述）が深く関わるという点が、対処を考える上で重要になります。

認証要否をめぐる記述と観測の乖離

本脆弱性で注意が必要なのが、認証の要否をめぐる情報の食い違いです。Microsoft のアドバイザリでは、Executive Summary で「認証されていない攻撃者（unauthorized attacker）」がネットワーク経由でコードを実行可能と記載する一方、FAQ では「攻撃者はサイト所有者以上の権限で認証されている必要がある」と説明しています。同一アドバイザリ内でも表現に幅があり、NVD の説明文や多くの報道は「認証不要」として扱っています。

さらに、実際に観測された攻撃の傾向は、認証不要側の解釈を裏づけるものとなっています。ハニーポットで攻撃を観測した Defused は、捕捉されたリクエストが認証情報を含んでいなかったと報告しており、これは本脆弱性が認証なしで悪用され得ることを示唆します。

この乖離は、前回の CVE-2026-58644 記事でも触れた「認証必須という記述をそのまま安全余裕と受け取ってよいか」という論点を、実際の観測証拠とともに示した例です。公式記述の前提条件だけでリスクを低く見積もらず、観測されている実態に即して対応を判断することを推奨します。少なくとも、認証の要否にかかわらず本脆弱性が RCE であり、悪用が観測されている事実は変わりません。

公開 PoC の登場と悪用の始まり

本脆弱性の状況は、2026 年 7 月 20 日を境に大きく変わりました。この日、動作する PoC（実証コード）が公開され、その直後から実際の悪用が観測されるようになっています。時系列を整理します。

7 月 14 日

Microsoft が月例更新で本脆弱性を修正。この時点では悪用は確認されておらず、評価は「Exploitation More Likely」「Unproven」

7 月 17 日

脅威インテリジェンス企業の Defused が、ハニーポットで SharePoint のデシリアライゼーションを狙うゼロデイらしき攻撃を観測（当初はどの脆弱性かを特定できず）

7 月 20 日

PoC コードが公開され、その数時間後に watchTowr のハニーポットネットワークが同 PoC を用いた悪用を捕捉、実際にシステム侵害に至ったことを確認。Defused も、観測していた攻撃がおそらく本脆弱性によるものと更新

この経緯が示すのは、公開 PoC の登場から実際の悪用開始までの時間が、もはや数時間単位であるという現実です。前回の CVE-2026-58644 が「ベンダーの悪用評価が後日格上げされた」事例だったのに対し、本脆弱性は「PoC 公開を引き金に悪用が一斉に始まった」事例であり、対応の猶予がさらに短くなっています。

なお、Defused が PoC 公開前の 7 月 17 日から攻撃を観測していたという点は、PoC 公開以前から一部の攻撃者が本脆弱性を悪用していた可能性を示唆します。パッチ公開（7 月 14 日）から PoC 公開（7 月 20 日）までの間も、決して安全な期間ではなかったことになります。

マシンキー窃取という攻撃目的

観測されている攻撃の主目的は、IIS マシンキー（ASP.NET の ViewState 検証・復号キー）の窃取です。watchTowr は、攻撃者が単一のリクエストでマシンキーを取得していると報告しています。

参考: watchTowr（Exploitation Alert）
“Attackers are pulling SharePoint machine keys via a single request”
（攻撃者は単一のリクエストで SharePoint のマシンキーを取得している）
https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/

マシンキーが窃取されると何が問題になるのかは、これまでの SharePoint 攻撃キャンペーンと共通します。攻撃者は窃取したキーを使って、正規に署名された不正な認証トークンや ViewState ペイロードを生成できるようになります。その結果、パッチを適用した後でも、攻撃者は有効なトークンを偽造してアクセスを維持できるのです。これが「パッチだけでは不十分」と繰り返し警告されている理由です。

KEV 未登録の状況をどう捉えるか

本脆弱性で対応判断を難しくしているのが、悪用が観測されているにもかかわらず、本記事執筆時点（2026 年 7 月 23 日）で CISA KEV に登録されていないという点です。同じ 7 月の SharePoint 脆弱性である CVE-2026-56164 と CVE-2026-58644 が、悪用確認とともに KEV に登録されたのとは対照的です。Microsoft のアドバイザリも、本記事執筆時点では悪用を確認済み（Exploited: Yes）へと更新されていません。

この状況は、KEV 登録や公式アドバイザリの更新を対応のトリガーにしている運用にとって、盲点になり得ます。KEV への追加やベンダーによる悪用確認には、実態からのタイムラグが生じることがあります。実際、前回の CVE-2026-58644 も、公開翌日にようやく悪用確認へ格上げされました。公的カタログの掲載を待ってから動くのではなく、悪用が観測されているという事実に基づいて対応を判断する姿勢が求められます。

セキュリティベンダーからも同様の指摘が出ています。watchTowr は、本脆弱性が KEV に未登録であることに触れつつ、パッチ適用を待つ理由はないと強く促しています。

参考: watchTowr（Exploitation Alert）
“If you were waiting for a signal to patch, this is it”
（パッチ適用の合図を待っていたのなら、これがその合図である）
https://x.com/watchtowrcyber/status/2079512810766106905

もっとも、KEV は今後追加される可能性が高く、状況は流動的です。本記事の情報は執筆時点のものであり、対応にあたっては CISA KEV カタログと MSRC アドバイザリの最新状態を確認することを推奨します。いずれにせよ、KEV 登録の有無は対応要否を左右する決定的な要因ではなく、CVSS 9.8 の RCE で悪用が観測されている以上、優先的な対処が妥当と考えられます。

影響を受けるバージョンと修正ビルド（56164 と同一 KB）

CVE-2026-50522 の影響対象は、サポート中のオンプレミス SharePoint Server 全バージョン（Subscription Edition・2019・2016）です。修正は 2026 年 7 月 14 日公開のセキュリティ更新プログラムに含まれています。

KB 番号・修正ビルド番号の一覧

MSRC のアドバイザリに記載された対象製品と KB 番号・修正ビルド番号を整理します。

対象製品	KB 番号	修正ビルド番号
SharePoint Server Subscription Edition	KB5002882	16.0.19725.20434
SharePoint Server 2019	KB5002883	16.0.10417.20175
SharePoint Enterprise Server 2016	KB5002891	16.0.5561.1001

参考: Microsoft Security Update Guide（CVE-2026-50522 Security Updates）
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522

ここで実務上重要な点があります。この KB 番号・修正ビルド番号は、権限昇格脆弱性 CVE-2026-56164 の修正 KB と完全に同一です。つまり、両脆弱性は同じ 7 月の SharePoint 累積セキュリティ更新でまとめて修正されます。すでに今月分の SharePoint 更新（CVE-2026-56164 対応）を適用済みであれば、本脆弱性 CVE-2026-50522 も修正済みということになります。

なお、ペアの関係にある CVE-2026-58644 は、これらとは別の KB（Subscription Edition なら KB5002873）で修正される点に注意してください。58644 は 6 月の更新に含まれていた経緯があり、KB が異なります。いずれにせよ、SharePoint の更新は累積型のため、最新の累積更新を適用すれば 3 件（56164・58644・50522）すべてが修正されるという理解で対応すれば漏れがありません。

適用状況の確認方法（Get-SPServer によるバージョン確認、全体管理の「製品および修正プログラムのインストール状態の確認」）は、関連記事『CVE-2026-58644｜SharePoint デシリアライゼーション RCE の悪用格上げと対処』で解説しています。

対処と侵害有無の確認

パッチ適用（今月の SharePoint 累積更新）

本脆弱性の根本対処は、今月の SharePoint 向けセキュリティ更新プログラムの適用です。前述のとおり CVE-2026-56164 と同一の KB で修正されるため、ファーム内の全サーバーに最新の累積更新を適用し、SharePoint 製品構成ウィザード（psconfig）を実行して build-to-build アップグレードを完了させます。適用手順の詳細（全サーバーへのインストール、構成ウィザードの実行、メンテナンス時間の考え方）は、関連記事『CVE-2026-56164｜SharePoint 権限昇格の悪用確認と対処の手順』の適用手順の節を参照してください。

パッチ未適用の環境では、Microsoft が提示する AMSI（Antimalware Scan Interface）統合による緩和策も、適用までの防御層として有効です。ただし本脆弱性は POST ボディを用いるデシリアライゼーション攻撃であり、リクエストボディのスキャン（Full モード）は SharePoint Server Subscription Edition でのみ利用可能です。AMSI の設定手順も同じく関連記事に集約しています。

マシンキー窃取を前提とした確認とローテーション

本脆弱性への対応で最も注意すべきは、パッチ適用だけでは侵害後のアクセスを排除できないという点です。前述のとおり、観測されている攻撃はマシンキーの窃取を目的としており、窃取されたキーはパッチ適用後も有効なまま残ります。

このため、以下の対応を検討することを推奨します。

侵害有無の確認

IIS ログの異常なリクエスト、SharePoint のディレクトリに作成された心当たりのない .aspx ファイル、Microsoft Defender の関連検出（本攻撃キャンペーンで報告されている検出名）の有無を確認します。特に、パッチ公開（7 月 14 日）以降にインターネットへ公開していた期間がある場合は、すでに窃取されている前提で確認することを推奨します。

マシンキーのローテーション

侵害が疑われる環境、および公開状態にあった環境では、パッチ適用後にマシンキーのローテーションを実施します。watchTowr も、パッチ適用に加えて、露出した可能性のある資産の資格情報をローテーションするよう促しています。

ここで重要な順序があります。CISA が過去の SharePoint 攻撃で示したとおり、マシンキーのローテーションを行う前に、侵害痕跡のハンティングと攻撃者の排除を先に行う必要があります。攻撃者が環境内に残ったままキーを更新しても、再び窃取されるためです。

マシンキーローテーションの具体的な手順（Set-SPMachineKey / Update-SPMachineKey、タイマージョブによる実行、iisreset の実施）は、関連記事『CVE-2026-56164｜SharePoint 権限昇格の悪用確認と対処の手順』のマシンキーローテーションの節に集約しています。本脆弱性の事後対応としても同じ手順が有効なため、あわせて参照してください。

なお、本脆弱性は EPSS スコア（今後 30 日以内に悪用される確率の指標）でも比較的高い値が報告されており、悪用がすでに現実化している状況とあわせて、優先的な対処が妥当と考えられます。KEV 登録を待つ対応と比べ、KEV 対応の実務的な流れ自体は、関連記事『Cisco Unified CM の SSRF 脆弱性（CVE-2026-20230）への対処』も参考になります。

まとめ

CVE-2026-50522 は、公開 PoC の登場を引き金に悪用が始まった SharePoint Server の RCE 脆弱性です。本記事執筆時点では CISA KEV に未登録ですが、悪用はすでに観測されており、KEV 登録を待たずに対処することが求められます。修正は CVE-2026-56164 と同一の KB で行え、あわせてマシンキー窃取への対処が必要です。

• 公開 PoC の登場後に悪用が観測された RCE、CVSS 9.8
• PoC 公開から数時間で悪用が始まった対応猶予の短さ
• 悪用進行中だが執筆時点で KEV 未登録、掲載を待たず対処
• 認証要否をめぐり公式記述と観測に乖離、実態は認証なしでの悪用
• 対象は Subscription Edition / 2019 / 2016、CVE-2026-56164 と同一 KB で修正
• 攻撃目的はマシンキー窃取、パッチ適用後も窃取キーは有効
• パッチ適用とマシンキーローテーションをセットで対応

以上、最後までお読みいただきありがとうございました。