2026年7月22日に実悪用が確認されたMicrosoft SharePoint Serverの重大脆弱性

【緊急】オンプレミスのSharePoint Serverを利用している企業は、「修正プログラムを適用したか」だけで対応を終えてはいけません。

今すぐ同時に確認すべきなのは、次の3点です。

①修正プログラムの適用状況

②既に侵害されていないか

③顧客・委託元・行政機関への通知期限

2026年7月22日、米国CISAは、Microsoft SharePoint Serverの脆弱性「CVE-2026-50522」を、実際の攻撃で悪用されている脆弱性としてKnown Exploited Vulnerabilities、いわゆるKEVカタログへ追加しました。

NVDでの公開日は2026年7月14日。CVSS v3.1の深刻度は9.8「Critical」です。

信頼できないデータのデシリアライズ処理に起因する脆弱性で、認証されていない攻撃者がネットワーク経由でコードを実行できる可能性があります。

攻撃条件は、ネットワークから到達可能、事前権限不要、利用者の操作不要です。機密性・完全性・可用性への影響はいずれも「高」と評価されています。

影響を受けるオンプレミス製品について、Microsoftが2026年7月14日に公開した更新プログラムと更新後のビルド番号は、次のとおりです。

・SharePoint Server 2016

KB5002891／ビルド16.0.5561.1001

・SharePoint Server 2019

KB5002883／ビルド16.0.10417.20175

・SharePoint Server Subscription Edition

KB5002882／ビルド16.0.19725.20434

したがって、最初に確認すべきなのは、単に「SharePointを使っているか」ではありません。

・オンプレミス版が残っていないか

・インターネットから到達可能な構成か

・各サーバーの実際のビルド番号はいくつか

・ファームを構成する全サーバーへ更新したか

・PSConfigなど必要な更新後処理が完了したか

まで確認する必要があります。

また、SharePoint Workflow Managerを利用している環境では、Microsoftが前提更新を示しています。Classic Workflow ManagerやSubscription Editionには、更新後の追加設定に関する注意事項もあるため、更新ファイルをインストールしただけで作業完了と判断してはいけません。

そして、今回最も重要なのは、既に実悪用が確認されていることです。

パッチの適用は「今後、その脆弱性を悪用される危険を抑える作業」であり、「過去に侵害されていないことを証明する作業」ではありません。

特に、インターネットへ公開していた環境や、2026年7月14日の更新公開後も未修正状態が続いていた環境では、実務上、少なくとも次の調査が必要です。

・IIS、SharePoint、Windowsのログ

・不審なファイルやプロセスの作成

・管理者権限やサービスアカウントの変更

・外部の不審な通信先

・設定ファイル、証明書、秘密情報へのアクセス

・ログの削除や監査設定の停止

・侵入後の永続化や横展開の痕跡

「更新に成功した」という作業記録と、「侵害されていない」という調査結果は、全く別の証拠です。

SharePoint Server自体がオンプレミスでも、認証、監視、バックアップ、アプリ連携がActive Directory、Microsoft Entra、Azureと接続されている場合があります。

そのため、次の経路も併せて確認します。

・AD／Microsoft Entraとの認証連携

・同期用、連携用サービスアカウント

・アプリ登録と付与済みAPI権限

・証明書、シークレット、接続文字列

・Azure上の監視、バックアップ環境

・不審なサインインや権限昇格

・新たな資格情報の登録

・Microsoft DefenderやMicrosoft Sentinelの検知状況

ただし、CVE-2026-50522によって、これらの環境が必ず侵害されると確認されたわけではありません。

ここで行うのは、SharePoint Serverが侵入口となった場合に、認証情報や連携設定を通じて移動できる経路が存在しないかを確認する調査です。

クラウド法務の観点では、「脆弱性が存在したこと」と「個人情報保護委員会への報告義務が発生したこと」を分けて判断しなければなりません。

脆弱性が存在しただけで、直ちに漏えい等報告の対象になるわけではありません。

個人データの漏えい、滅失、毀損が発生した、または発生したおそれがあり、個人情報保護法上の報告対象事態に該当するかを、保存されていたデータ、公開状態、アクセスログ、侵害の痕跡などから判断します。

個人情報保護委員会は、漏えい等事案が発覚した場合に行うべき対応として、社内報告と被害拡大防止、事実関係と原因の調査、影響範囲の特定、再発防止策、本人への連絡等を示しています。

つまり、技術調査の記録は、行政報告や本人通知の要否を判断するための法的な基礎資料にもなります。

報告対象事態に該当する場合、個人情報保護委員会が示す期限は、原則として次のとおりです。

・速報：事態を知ってから速やかに、概ね3～5日以内

・確報：事態を知った日から30日以内

・不正な目的で行われたおそれがある場合：60日以内

・本人通知：本人の権利利益を保護するため、必要な範囲で速やかに実施

重要なのは、社内の調査や承認がすべて終わってから時計が動き始めるわけではないことです。

初期段階ですべてを確定できない場合でも、速報時点で把握している内容を報告し、その後に調査結果を確報として提出する仕組みです。

さらに、法令上の報告期限とは別に、顧客、委託元、取引先との契約で24時間以内、48時間以内など、より短い通知期限が定められていることがあります。

確認すべきなのは、次のような条項です。

・インシデントの定義

・「発生」だけでなく「おそれ」の段階で通知するか

・初動通知の期限

・委託先、再委託先からの報告経路

・ログや調査資料の提供義務

・フォレンジック調査への協力義務

・原因、影響範囲、再発防止策の報告期限

・顧客への公表前協議

・調査費用、復旧費用、損害の負担

・監査権と証拠の保存期間

「個人情報保護委員会への報告はまだ不要」と判断した場合でも、契約上の通知義務が既に発生している可能性があります。

サイバーインシデント対応では、技術部門が復旧作業を終えた後に、法務部門が報告書を作り始める進め方では間に合いません。

最初の検知段階から、

構成と影響範囲の調査

ログと証拠の保全

個人データ該当性の確認

委託元・顧客への通知判断

行政報告と本人通知

原因と再発防止策の文書化

を、一つの時系列で管理する必要があります。

山崎行政書士事務所では、Azure、Microsoft Entra等の技術的な構成確認と、クラウド契約、責任分界、個人情報保護、インシデント通知・報告文書の整備を横断して支援します。

技術的に直すだけではありません。

「いつ把握したのか」

「何を調査したのか」

「誰へ、いつ報告したのか」

「どのような根拠で判断したのか」

を、後から証明できる状態まで整えることが重要です。

確認基準日：2026年7月23日

出典：Microsoft Support、NVD、米国CISA、個人情報保護委員会

#サイバーセキュリティ #SharePoint #MicrosoftEntra #Azure技術支援 #クラウド法務 #個人情報保護 #インシデント対応 #山崎行政書士事務所