Microsoft SharePoint Server に入力検証不備（CVE-2026-32201）― ネットワーク経由のなりすまし（スプーフィング）のおそれ
企業の情報共有基盤 Microsoft SharePoint Server に、不適切な入力検証(CWE-20)の脆弱性。攻撃者がネットワーク経由でなりすまし（スプーフィング）を行いうる。NVDの一次評価はCVSS 6.5（MEDIUM）。CISAが2026年4月14日にKEVへ追加、是正期限4月28日。
脆弱性の基本情報
- CVE番号CVE-2026-32201
- CVSS基本値6.5 MEDIUM
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
- 対象（ベンダー／製品）Microsoft SharePoint Server
- CWECWE-20
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-04-28（米連邦民生機関・BOD 22-01）
要点
「なりすまし（スプーフィング）」とは、攻撃者が別の正規の存在（利用者やサーバなど）になりすまして相手を欺く攻撃を指す。本件は、Microsoft SharePoint Server の入力検証が不十分なことに起因し、権限のない攻撃者がネットワーク経由でこのなりすましを行いうるとされる。
SharePointは企業の文書共有・社内ポータルの基盤として広く使われ、多くの機微な情報が集まる場であるため、なりすましは情報の窃取や不正操作の足がかりになりうる。
NVDの一次評価はCVSS 6.5（MEDIUM）で、機密性・完全性への影響は限定的（C:L/I:L）とされる。遠隔コード実行のような直接的な掌握ではないものの、なりすましは他の攻撃と組み合わさることで被害を広げうる。SharePointは過去にも複数の脆弱性が悪用されており、本件もその一つとしてKEVに載った。
数値上はMEDIUMだが、CISAがKEVに追加した事実は、この脆弱性が実際の攻撃で使われていることを示す。広く使われる情報基盤の弱点は、CVSSの高低にかかわらず現実の標的になる。対応はMicrosoftの案内に従った速やかな更新である。
なぜ重要か
SharePointは企業の文書共有・社内ポータルの基盤で、機微な情報が集まる。なりすましは直接の掌握ではないが、情報窃取や他の攻撃との組み合わせで被害を広げうる。NVD一次評価はMEDIUM(6.5)だが、KEV入りは実際の悪用を意味し、広く使われる情報基盤の弱点はCVSSの高低に関わらず標的になる。Microsoftの案内に沿った速やかな更新が要点である。
よくある質問（FAQ）
なりすまし（スプーフィング）とは何ですか。
CVSSがMEDIUMなのになぜ対応が必要ですか。
以前のSharePointの脆弱性と同じですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。