Microsoft SharePoint Server にデシリアライゼーションの脆弱性（CVE-2026-45659）— ログイン済み攻撃者が遠隔コード実行、是正期限は追加から3日
企業の文書共有基盤 Microsoft SharePoint Server に、信頼できないデータのデシリアライゼーション（直列化データの復元処理）に起因する脆弱性。権限を持つ攻撃者がネットワーク経由でコードを実行できる。CISAは2026年7月1日にKEV（悪用確認済みカタログ）へ追加し、是正期限をわずか3日後の7月4日に設定した。
脆弱性の基本情報
- CVE番号CVE-2026-45659
- CVSS基本値8.8 HIGH
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）Microsoft SharePoint Server
- CWECWE-502
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-07-04（米連邦民生機関・BOD 22-01）
要点
デシリアライゼーションとは、ネットワークやファイルでやり取りするために「直列化」されたデータを、プログラム内部のオブジェクトへ復元する処理を指す。復元するデータを十分に検証しないと、攻撃者が細工したデータの中に「復元された瞬間に動き出す」コードの部品を仕込むことができ、遠隔コード実行につながる。
SharePoint を含む .NET 系のサーバ製品で繰り返し発見されてきた、古典的だが致命傷になりやすい型の脆弱性である。
本件の条件は「認可された攻撃者」＝何らかのログインが必要で、外部から誰でも直撃できるわけではない。しかし実際の攻撃では、フィッシングで奪った一般ユーザーのアカウントや、別の脆弱性で得た足がかりから、この種の「ログイン済み前提のRCE」を使ってサーバ本体を乗っ取り、組織内での横展開へ進む型が定石になっている。
SharePoint は文書・人事・プロジェクト情報が集まる場所であり、乗っ取られたときの被害の質が重い。
注目すべきは是正期限の短さだ。KEV追加（7月1日）から期限（7月4日）までわずか3日は、CISAの新しい運用指令 BOD 26-04（リスクに基づく更新優先付け）の下で最優先級の扱いを意味し、悪用の広がりへの強い警戒を示す。オンプレミス（自組織運用）の SharePoint Server が対象で、Microsoft の更新ガイドに沿ったパッチ適用が基本線となる。
過去にも SharePoint のオンプレ版は深刻な脆弱性の悪用が繰り返されており、外部公開の要否そのものを見直す契機にもなる。
なぜ重要か
文書・業務情報の中枢であるSharePointの乗っ取りは、情報漏えいと組織内横展開の両方に直結する。是正期限3日という異例の短さは実悪用への強い警戒の表れで、オンプレ運用組織はパッチ適用と外部公開範囲の再点検が要点。「ログイン済み前提のRCE」を軽視しない、という侵入後対策の教材でもある。
よくある質問（FAQ）
デシリアライゼーションの脆弱性とは何ですか。
ログインが必要なら危険度は低いのでは？
何をすべきですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。