SharePointの脆弱性CVE-2026-65660｜悪用確認・対象バージョンと更新

CVE-2026-65660は、SharePoint Serverでコードの生成を正しく制御できていない脆弱性（コードインジェクション、CWE-94）で、悪用されるとサーバー上でコードを実行されるおそれがあります。Microsoftは2026年8月11日に公表し、深刻度を「重要」、CVSS v3.1の基本値を8.8としています。[1]

前提は、攻撃者が影響を受けるサーバーに対して低いレベルのアクセス許可を持ち、認証されていることです。そのうえで特別に細工したリクエストを送ると、サーバー上でコードを実行できる可能性があります。利用者の操作は要りません。[1]

対象は、自社で運用するSharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Editionの3製品です。Microsoftのセキュリティ更新ガイドの対象製品にSharePoint Onlineは挙がっていません。[1]

SharePoint Server 2016を使っている場合も、SharePoint Enterprise Server 2016と同じ更新プログラム（同じKB番号）を入れます。[1]

米CISAは2026年9月25日に、この脆弱性を悪用が確認された脆弱性の一覧（KEV）へ追加し、米連邦政府機関の対応期限を9月28日としました。KEVでは、更新の前に侵害の有無を調べる対象（Forensic Triage）にも指定されています。[2]

Microsoftは同じ9月25日（日本時間も同じ日）に更新ガイドを改訂（1.2）し、この脆弱性を悪用する攻撃を確認した信頼できる証拠があると追記しました。一方で、更新ガイドの「悪用」の欄は2026年11月2日の時点で「なし」、悪用の可能性の評価は「悪用される可能性は低い」のままで、改訂の追記と食い違っています。[1]

2026年11月2日に確認した時点で、JPCERT/CCの注意喚起（8月のマイクロソフトの月例を含む）とIPAの緊急対策情報に、この脆弱性は挙がっていません。

攻撃には低い権限のアカウントがあれば足りるため、アカウントを持つ人が多いほど、また社外から届くほど、狙える人が増えます。[1]まず、社内にあるSharePointのファーム（本番・検証・部署ごとのものを含む）と、社外から接続できるように公開しているものを一覧にします。社外の取引先などに発行したアカウントがあるかも確かめます。

Microsoftは、この脆弱性で攻撃された場合の痕跡を更新ガイドで示していません。[1]米CISAはKEVでこの脆弱性を、更新の前に侵害の有無を調べる対象に指定しています。CISAが米連邦政府機関向けに示す手順では、更新すると痕跡が失われるおそれがあるため、記録を先に集めてから更新し、次の点を調べます。[2][6]

1. 更新を入れる前に、調べるのに要る記録（メモリなど電源を切ると消える情報を先に、次にディスク上のログやファイル）を集め、何をいつ誰が集めたかを記録する
2. システム・アカウント・データへの許可のないアクセスが無いか
3. 攻撃者が入り込んでいる形跡、ほかのサーバーへ広がった形跡が無いか
4. 居座るための仕掛け（永続化）が残っていないか
5. データを集めて持ち出した形跡が無いか

次のビルドより前が対象で、2026年8月11日のセキュリティ更新で直ります。2016と2019は更新プログラムが2つずつあり、Microsoftは表に挙がったすべてを入れるよう求めています。[1][3]

SharePointの更新は累積で、後の更新にはそれまでの修正がすべて含まれます。Subscription Editionは9月8日（KB5002908）と10月13日（KB5002927、16.0.20326.20190）の更新が出ており、最新の更新を入れれば今回の修正も入ります。2016と2019は、11月2日の時点で8月11日の更新が一覧の最新です。[7]

ビルドは、サーバーの全体管理の［アップグレードと移行］ページで、製品と更新プログラムのインストールの状態として確かめられます。[5]

1. 更新プログラムは、Microsoft Update、Microsoft Update カタログ、Microsoft ダウンロード センターから入手できます。[4]
2. ファームのすべてのサーバーに更新プログラムを入れた後、SharePoint 製品構成ウィザード（またはPSConfig）を実行して、構成データベースとコンテンツ データベースを更新します。データベースの更新中はサイトを使えません。[5]
3. Subscription EditionでSharePoint ワークフロー マネージャーを使っている場合は、KB5002893を入れる前にKB5002799をファームに入れる必要があります。[4]
4. 保守の会社に頼むときは、対象のファームとサーバーの台数、いまのビルド、入れる更新プログラムのKB番号、更新後に構成ウィザードまで実行することを伝えます。

Microsoftのセキュリティ更新ガイドに、この脆弱性の回避策・緩和策の記載はありません。セキュリティ更新を入れることが対策です。[1]

SharePoint Server 2016と2019の延長サポートは、2026年7月14日（米国時間）に終わっています。今回の8月11日の更新は2016・2019にも出ていますが、11月2日の時点で、9月・10月の更新は一覧にSubscription Editionの分しかありません。[8][7]

2016・2019を使っている場合は、8月の更新を入れたうえで、Subscription Editionなどサポートが続く製品への移行の時期を決めます。