SharePoint のコードインジェクション（CVE-2025-49704）― 認証の欠陥と組み合わせて使われ、是正期限は掲載の翌日に設定された

1コードインジェクションという型

プログラムの一部として解釈される場所に、外部から与えた文字列がそのまま入り込むと、その文字列は命令として動きます。データとして扱われるべきものが、コードとして扱われてしまう。これがコードインジェクションと呼ばれる欠陥の型です。

本件は、権限を有する主体がネットワーク越しにコードを実行しうるものとされています。サーバ上で任意の処理が動くということは、そのサーバが持つ権限の範囲すべてが影響を受けうるということです。

2組み合わせて使われる

カタログの説明には、本件が別の脆弱性と組み合わせて使われうると明記されています。組み合わせが問題になるのは、単独では届かない場所に、二つを繋ぐことで届くからです。

1. 1一つ目認証に関する脆弱性。本来必要な確認を通さずに入り込む
2. 2二つ目（本件）コードインジェクション。入り込んだ先で処理を実行させる
3. 3組み合わせの結果認証を経ずにサーバ上で処理が動く状態になりうる
4. 4単独ではそれぞれ影響が限定されうる

脆弱性の深刻さを一つずつ評価していると、この種の組み合わせを見落とします。KEVカタログが「組み合わせて使われうる」と明記しているのは、単体の評価だけでは足りないことを示すためです。

3パッチを迂回されるということ

さらに説明では、別の番号の脆弱性が本件のパッチを迂回するものであり、そちらに対する更新のほうが堅牢な保護を含むとされています。つまり最初の修正では塞ぎきれておらず、後から出た更新で塞ぎ直されたことになります。更新を適用したから安全だとは限らず、どの更新まで当てたかが問われます。

4是正期限が1日

連邦機関に課される是正期限は、多くの場合21日です。本件はそれが1日に縮められています。2026年9月3日時点で当サイトが保持する記録のうち、期限が1日のものは6件しかありません。期限の短さは、その時点でどれだけ広く悪用されていたかを示す指標として読めます。

5要求される措置

要求される措置には、提供終了または保守終了に達した一般公開のSharePoint Serverを切り離すことが最初に挙げられています。更新の適用ではなく、切り離しが求められているのは、もはや修正が提供されない版が対象に含まれるためです。サポートの切れた製品を公開の場に置き続けることの危うさが、そのまま措置の内容に現れています。