単一リクエストでRCEと持続化——SharePoint Serverが“永続バックドア”に化ける現実です

今日の深掘りポイント

• すでに悪用が確認され、CISAのKEVに登録——「急いで塞ぐべき穴」です。公開面に出たSharePointは直ちに遮断・パッチ適用の判断が必要になります。
• 単一の悪意リクエストでRCEと持続化を両取り——ウェブシェル展開に加え、ASP.NET/SharePoint構成からの秘密情報奪取が静かな永続化を後押しします。
• いったん侵入を許すと「アプリ層の静脈」をたどるように社内へ横展開——Webアプリ・サービスアカウント・DB・ADの橋渡し役であるSharePoint特性が被害拡大を加速させます。
• 検知はIISログの“微差”を拾う競技——長大なPOST、珍しいエンドポイント、突然増える200/500応答、短期間に作成された.aspxなど、ベースラインの差分から獲る構えが肝心です。
• メトリクス的にも「短期決戦・即応とハンティングの同時進行」——発生確度と即時性が高く、新規性は中庸ゆえ、既知TTPの組み合わせを前提に現実的な封じ込めを設計すべき局面です。

はじめに

SharePoint Serverは、社内の文書・権限・ワークフローが密に交差する“企業内バス”のような存在です。そこに、単一のウェブリクエストでリモートコード実行（RCE）と持続化を許す脆弱性群——CVE-2026-32201、CVE-2026-45659、CVE-2026-56164——がのしかかりました。CISAの既知の悪用脆弱性（KEV）に追加されたという事実は、すでに現場で弾が飛び交っている合図です。露出サーバの遮断と緊急パッチは“やる・いま”の領域であり、SOCはIISログの異常検知と妥協点のないフォレンジック前提の対応に舵を切るべきタイミングです。

深掘り詳細

事実関係（いま何が起きているか）

• 対象はMicrosoft SharePoint Serverの脆弱性群（CVE-2026-32201、CVE-2026-45659、CVE-2026-56164）で、単一の悪意あるウェブリクエストでRCEと持続化を許すケースが確認されています。
• 攻撃者はASP.NETウェブシェルを投下し、SharePoint/ASP.NETの設定から機密情報（秘密鍵など）を抽出、セキュリティ対策を回避した長期的なバックドアを確保します。
• CISAはこれらをKEVに追加し、インターネットに接続されたSharePointサーバの危険性を警告しています。
• 7月の修正が提供されており、緊急適用が強く推奨されます。
• 参考情報（セカンダリ報道）として以下が公開済みです。GBHackersの解説です。

インサイト（編集部の視点と読み筋）

• 「単一リクエストでRCE＋持続化」という構図は、前段でプリオース（認証前）にコード実行を奪取し、後段でファイル書き込みや設定改変、もしくはASP.NETの暗号素材（machineKeyなど）に触れられることを示唆します。過去の類似事例（一般論）では、ViewStateやクッキーの署名・暗号素材が奪われると、低ノイズでの偽装セッションや任意ペイロード実行が長期化しがちです。今回も同様の“静かな持続化”が成立しうるとみるのが実務的です（仮説）です。
• SharePointはアプリプールID、ファーム/サービスアカウント、SQL Server接続情報、AD連携など“社内の中核接続点”を抱えます。設定ファイルやメタデータから漏れた資格情報は、のちの横展開（DB→AD→ファイルサーバ）に直結します。これは初動のRCE以上に重い“システム性の侵害”で、復旧はパッチ適用だけでは終わりません。
• KEV入りは“実害が出ている”サインです。新規性は中程度でも、攻撃成功確度と即時性が高い局面では、既知TTPに対してどれだけセンサーを利かせ、隔離から根絶・再発防止までを素早く回せるかが勝負です。
• 検知のコツは「平常との差分」に寄せることです。SharePointは通常時からトラフィックが濃密で、単純なシグネチャでは埋もれます。長大な__VIEWSTATEや異様なPOSTサイズ、滅多に使われない/_layouts/や/_vti_bin/への書き込み系アクセス、短時間で作られた新規.aspx、w3wpプロセスの不自然な子プロセス生成など、環境固有のベースラインから外れる微細な変化を面で拾うべきです。
• 今回の性質上、対策は“パッチ＋鍵・資格情報のローテーション＋アプリ層の健全性証明”の三点セットで設計すべきです。ウェブシェル除去やファイル復元だけでは、盗まれた暗号素材や偽装セッションを無効化できません。
• 国家支援型アクターの関心領域（公共・インフラ・大企業の横断基盤）とSharePointのカバレッジは親和性が高いです。攻撃者は短期のフットホールド確保後、情報収集・権限伸長に時間をかける傾向があり、早期の隔離と“痕跡が薄い持続化”の洗い出しが鍵になります。

脅威シナリオと影響

以下はMITRE ATT&CK観点での想定シナリオ（仮説）です。環境により痕跡や優先度は異なります。

• シナリオA：プリオースRCEからの即時ウェブシェル常駐

  • 初期侵入: Exploit Public-Facing Application（T1190）
  • 実行: OSコマンド/PowerShell（T1059系）
  • 持続化: Server Software Component: Web Shell（T1505.003）
  • 防御回避: Obfuscated/Compressed Files & Information（T1027）、Masquerading（T1036）
  • 発見回避: Webログのノイズに埋没、IISワーカープロセス内での常駐

• シナリオB：機密情報の奪取→静的鍵悪用によるセッション偽装

  • 資格情報アクセス: Unsecured Credentials（T1552.x）、Private Keys（T1552.004）
  • 横展開準備: Use Alternate Authentication Material: Web Session Cookie（T1550.004）
  • 権限昇格/横移動: Valid Accounts（T1078）、SMB/RDP等（T1021系）
  • 影響: 構成・権限の“静かな”乗っ取り、長期滞在とデータ持ち出し（Exfiltration Over Web Services: T1567.002）

• シナリオC：社内基盤の踏み台化と二次被害

  • 発見・偵察: Account Discovery（T1087）、Network Service Discovery（T1046）
  • 標的化: SharePoint→SQL→AD→ファイルサーバの順に権限拡大
  • 影響: 大量の機密文書流出、後段での恐喝/二次侵入、業務停止リスク（必要に応じてData Encrypted for Impact: T1486まで波及）

ビジネス影響は、機密文書の損失だけにとどまらず、権限モデルの信頼崩壊とコンプライアンスの連鎖影響にまで及びます。加えて、横展開の足場として価値が高いため、対外的な信用毀損や規制当局への報告対応も視野に入るリスクプロファイルです。

セキュリティ担当者のアクション

“いま動くべきこと”と“数日以内にやり切ること”を分けて提示します。

• 直ちに（今日）

  • 露出状況の棚卸しと遮断方針
    • インターネット公開中のSharePointは、パッチ適用が完了するまで外部からの到達を遮断（VPN/ゼロトラスト経由への切替やWAFでの一時遮断）を検討します。
  • パッチ適用
    • 7月の修正を適用し、全フロントエンド/アプリサーバで適用状態を検証します（バイナリ/ファイルバージョンや健全性チェックを残すことが重要です）。
  • 早期ハントの走り出し
    • IISログでベースラインから外れる事象を洗い出します。例：
      • 異常に長いクエリ/POSTボディ、珍しいエンドポイント（/_layouts/、/_vti_bin/ 等）への大容量POST
      • 短時間に生成された新規.aspx/.ashx、予期せぬディレクトリ直下のスクリプト作成
      • 200/500応答の急増、ユーザーエージェントや送信元の多様化
    • w3wp.exe配下の子プロセス生成、PowerShell/コマンド実行痕の有無をEDRで確認します。

• 48–72時間以内（封じ込めと根絶）

  • 永続化の洗い出しと除去
    • Webルート配下（SharePoint仮想ディレクトリ、15\TEMPLATE配下等）の新規/改変ファイルを時系列で棚卸し、差分を徹底確認します。
    • グローバルイベント（global.asax、web.config）への改変や新規モジュール登録がないかを精査します。
  • 鍵・資格情報のローテーション（ここが肝）
    • ASP.NET/SharePointの暗号素材（machineKey等）とアプリプール/ファーム/サービスアカウント資格情報を一括でローテーションします。環境全体の一貫性確保と、既存セッション無効化の計画的実施が不可欠です。
  • セッション/トークンの無効化
    • 既存の認証クッキー/トークンの強制失効、パスワードリセットポリシーの臨時強化を行います。
  • ログ/アーティファクトの保全
    • 監査・将来の再発防止のため、IIS、Windowsイベント、EDR、WAF、プロキシのログを安全な保管庫に集約します。

• 1～2週間（再発防止と運用強化）

  • 公開形態の見直し
    • 直公開を可能な限りやめ、VPN/ゼロトラスト・プロキシ越しの閉域運用へ移行します。
    • WAF/リバプロでのパス正規化、アップロード制限、危険拡張子/メソッドのフィルタリングを適用します。
  • 可視化の増強
    • IIS詳細ログやスクリプトブロック監査の有効化、AMSI連携を強化し、w3wpのふるまいを継続監視します。
  • “使わない機能は切る”
    • カスタムスクリプトや古いワークフロー/拡張の無効化、最小権限の徹底、アプリプールアイデンティティの権限縮小を進めます。
  • 演習とベースライン確立
    • SharePoint特化のアタックシミュレーションを行い、IISログとEDRの相関で“平常と異常”の境界をチームで共有します。

最後に——今回のメトリクスが示唆するのは、「新奇さ」より「いま起きている現実」への適応力です。目の前の資産から火の粉を払いつつ、アプリ層での鍵・資格情報・構成という“見えにくい攻撃面”をどう観測・再設計するか。この二段構えが、次の“単一リクエストで全てを奪う”攻撃にも効いてきます。

参考情報

• セカンダリ報道（脆弱性群・悪用の概要）: GBHackers – Microsoft SharePoint Server vulnerabilitiesです。