重大 9.9 急ぎ度: 早めに

SharePointに権限昇格の脆弱性、修正版が公開

SharePoint Server Subscription Editionに、認証済みの利用者が接続先の業務サービスを不正に操作できる脆弱性が公表され、修正版が出ています。自社の版を確認し、16.0.20326.20278へ更新してください。

CVE-2026-120002 公開 3:32 更新 3:32 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 3 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

急ぎ度: 早めに

CVSS v3は9.9と高く修正版も出ていますが、Microsoftは悪用も公開も確認しておらず、攻撃には認証と特定の権限が要るため、至急ではなく早めの更新が妥当です。

関係があるか

SharePoint Server Subscription Editionを自社で運用し、Secure Storeで外部の業務サービスに接続している組織が当てはまります。サイトの閲覧権限を持つ利用者が多い環境ほど、条件を満たす人が増えます。

製品	影響を受ける版	修正版
Microsoft SharePoint Server Subscription Edition	16.0.0以上16.0.20326.20278未満	16.0.20326.20278

確かめ方

1SharePoint Server Subscription Editionを使っているか、サーバー管理者に確認します。2019など別のエディションを使っている場合は、MicrosoftのCVE-2026-120002の告知で対象かどうかを確かめてください。
2SharePoint Management Shellで (Get-SPFarm).BuildVersion を実行し、16.0.20326.20278より前なら修正前の版です。更新を適用したあとにも同じ確認で版が上がっているかを見ます。
3Central AdministrationのSecure Store Serviceで、ターゲットアプリケーションが登録されているかを確認します。登録があれば、どの業務サービスにどの資格情報で接続しているかと、メンバーに入っている利用者を控えておきます。

何が起きたか

SharePoint Serverのアクセス制御に不備があり、サイトの閲覧権限を持つ認証済みの利用者が、SharePointが接続している業務サービスに対して、本来許されない操作を実行させられるおそれがあります。

Microsoftは2026年11月10日に公表しました。分類はCWE-863（認可の不備）で、CVSS v3は9.9です。影響がSharePoint自体にとどまらず、接続先の業務サービスにまで及ぶ評価になっています。

Microsoftは、公表の時点で悪用も一般への公開も確認されていないとしています。

攻撃の流れ

1

認証済みで接続

サイトの閲覧権限を持つ利用者として、対象のSharePointサーバーにネットワーク経由でアクセスします。
2

細工した要求

認可の確認が不十分な部分に向けて、特別に作られたネットワーク要求を送ります。
3

共有資格情報を使用

SharePointが、Secure Storeに保管された共有の資格情報で接続先の業務サービスに接続します。
4

未承認の操作

接続先の業務サービスで、本来許可されていない操作が実行されます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用にはログインが必要です。対象のSharePointサーバーにネットワーク経由で届く位置にいて、サイトの閲覧権限を持ち、かつ該当するSecure Storeターゲットアプリケーションのメンバーに入っている利用者でなければなりません。特別に作られた要求を送るだけで成立し、ほかの利用者の操作は要りません。

成功すると、SharePointが共有の資格情報を使って接続先の業務サービスに対し、許可されていない操作をします。CVSSでは機密性・完全性・可用性のすべてが高と評価されており、被害の大きさは接続先がどんな業務サービスかによって変わります。

今すぐやること

1

修正版に更新する

ファームを構成するSharePointサーバーすべてを、修正版に更新します。検証環境があれば先に適用して、業務アプリとの連携が動くかを確認してから本番に入れます。
2

接続先の業務サービスのログを見る

公表時点で悪用は確認されていませんが、Secure Storeの資格情報で接続している業務サービスについて、心当たりのない操作が最近ないかを念のため見ます。
3

対象かどうかをベンダーの告知で確かめる

Subscription Edition以外のエディションを使っている場合は、MicrosoftのCVE-2026-120002の告知で対象に入っているか、更新プログラムが出ているかを確認します。

すぐ更新できないとき

Microsoftは回避策を示していません。更新までのつなぎとして、Secure Storeのターゲットアプリケーションのメンバーを、業務上必要な利用者だけに絞る方法があります。攻撃に必要な条件の一つを減らせますが、公式の回避策ではなく、更新の代わりにはなりません。

背景

SharePoint Serverは、社内ポータルや文書共有の基盤として自社のサーバーで運用されることが多い製品です。Secure Store Serviceは、その上で外部の業務システムに接続するための資格情報を保管し、利用者に代わって接続する機能です。

この脆弱性は、その代理接続の部分が絡みます。SharePointの画面上の権限と、裏側で使われる共有資格情報の権限は別のものです。そのため、SharePointだけを見ていても、接続先の業務システムまで被害が及ぶ範囲が分かりません。更新と合わせて、どの業務サービスにつながっているかを洗い出しておく価値があります。

よくある質問

Q.Secure Storeを使っていなければ、更新しなくてよいのですか。

A.Secure Storeのターゲットアプリケーションのメンバーであることは攻撃の条件に含まれています。ただ、Subscription Editionの修正前の版が対象だとMicrosoftが示しているので、使っていない環境でも版が該当するなら更新してください。

まだ分かっていないこと

接続先の業務サービスの種類ごとに、どんな操作が実行されうるかは示されていません。
Microsoftの情報に、更新以外の回避策の記載はありません。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Microsoft	MicrosoftMicrosoft SharePoint Server Subscription Edition	16.0.0 以上 16.0.20326.20278 未満→ 16.0.20326.20278	16.0.20326.20278

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Incorrect authorization in Microsoft Office SharePoint allows an authorized attacker to elevate privileges over a network.

出典: Microsoft Security Response Center Blog NVD GitHub Advisory