Security News Daily

SharePoint認証バイパスとWindowsゼロデイ2件：企業インフラを襲う4大Critical脆弱性

Microsoft SharePointの認証バイパス脆弱性（CVE-2026-55040）がPoC公開直後から悪用され、WindowsにはLegacyHiveゼロデイとDefenderのShieldBreakゼロデイ（CVE-2026-50656）が出現。さらにVMware vCenterのRCE（CVE-2026-59310）とWordPressのRCE（CVE-2026-65640）も同時に発生し、企業の多層的なインフラに深刻な脅威が迫っている。

緊急ゼロデイ脆弱性認証バイパスRCE企業インフラPatch Tuesday

今日のハイライト

2026年8月のPatch Tuesdayを直後に、Microsoft製品を中心に複数のクリティカル脆弱性が集中公開・悪用され始めている。特にSharePointの認証バイパスとWindowsの2件のゼロデイ、そしてデータセンターの中核であるvCenterのRCEが同時に発生しており、企業のセキュリティチームは多層的なインフラ全体で対応を急ぐ必要がある。

1. SharePoint認証バイパス脆弱性、PoC公開直後から悪用開始

重要度: 🔴 Critical (10/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

Microsoft SharePointの認証バイパス脆弱性（CVE-2026-55040、CVSS 9.1）のProof-of-Concept（PoC）コードが公開された直後から、攻撃者による実際の悪用が確認された。SharePointは企業のドキュメント管理やイントラネット基盤として広く利用されており、認証を完全に迂回されることで、機密情報の窃取やさらなる攻撃の足がかりとなる可能性が極めて高い。

考察

  • 実務対策: この脆弱性は認証前のロジックに存在するため、従来のWAFや多要素認証（MFA）では防ぎきれない。影響を受ける組織は、即座のパッチ適用を最優先とすべきだ。パッチ適用までの間は、インターネットに露出しているSharePointの一時的な遮断や、IP制限によるアクセス制御を検討する。さらに、SharePointへの匿名アクセスやゲストアクセス設定の見直しも併せて行う。
  • 技術的背景: PoC公開後の「即悪用」は、攻撃者がPoCリリースを待つ「ストック型」の攻撃準備を常態化していることを示している。SharePointのようなエンタープライズ製品の認証バイパスは、初期侵入（Initial Access）の強力な武器となる。攻撃者の動機は、企業の知的財産や認証情報の収集、あるいはランサムウェア攻撃の前段階としての足がかり確保と考えられる。
  • 業界トレンド: 近年、エンタープライズコラボレーションツール（SharePoint、Exchange、Confluenceなど）の認証バイパスやRCEが標的化されている。これらは組織内の「信頼されたゾーン」に位置づけられがちだが、インターネット露出が増えている現状では、境界防御の再設計が必要だ。

参照元

2. Microsoft、LegacyHive Windowsゼロデイ脆弱性をパッチ

重要度: 🔴 Critical (10/10) | カテゴリ: ゼロデイ | ソース: BleepingComputer

概要

Microsoftは、2026年7月のPatch Tuesday後に公開された「LegacyHive」と名付けられたWindowsゼロデイ脆弱性に対するセキュリティパッチをリリースした。脆弱性は既に悪用されている可能性があり、全世界のWindows組織およびユーザーに対して緊急性の高い影響を与える。

考察

  • 実務対策: LegacyHiveはおそらくWindowsのレジストリ（Hive）関連の脆弱性と推測される。パッチ適用を直ちに実施し、適用できないシステムについては、Microsoft Defender for EndpointなどのEDRによる「異常なレジストリアクセス」や「SAM/SECURITYハイブのダンプ」を監視する。Windows HelloやCredential Guardの有効化も、資格情報窃取のリスク軽減に有効だ。
  • 技術的背景: ゼロデイが7月に公開され、8月にパッチが提供されたというタイムラインは、Microsoftの検証・修正プロセスの複雑さを示している。既に悪用されている可能性があるという点は、APTグループや高度な犯罪者がこの脆弱性を「保持」していたことを示唆している。動機としては、長期的なネットワーク永続化や特権昇格が考えられる。
  • 業界トレンド: Windows OS自体のゼロデイは、どのようなEDRやセキュリティ製品を導入していても根本的に脅かす。特にOSのコアコンポーネント（カーネル、レジストリ、LSASSなど）の脆弱性は、セキュリティツールの検知をすり抜ける可能性が高い。

参照元

3. Nightmare Eclipse、Defender標的のWindowsゼロデイ「ShieldBreak」を公開

重要度: 🔴 Critical (9/10) | カテゴリ: ゼロデイ | ソース: SecurityWeek

概要

セキュリティ研究者「Nightmare Eclipse」（Chaotic Eclipse）が、Microsoft Defenderを標的とした新たなゼロデイ特権昇格エクスプロイト「ShieldBreak」を公開した。これはCVE-2026-50656（RoguePlanet）のパッチバイパスと主張されているが、Tharros LabsのWill Dormann氏やKevin Beaumont氏は、CLFS（Common Log File System）とCloud Filter API（cfapi）を悪用する全く異なる手法だと分析している。最新のWindows 11、Windows Server 2025、およびWindows 10でも動作し、任意のユーザーがSYSTEM権限でシェルを取得可能だ。

考察

  • 実務対策: 深刻な点は、ShieldBreakが「Microsoft Defenderが有効であることを前提」として動作することだ。これはセキュリティ製品を攻撃の「トリガー」として利用する高度な手法である。対策としては、System32ディレクトリへのphoneinfo.dllなどの不審なDLL配置を監視し、QueueReportingスケジュールタスクの異常な実行を検知する。EDRの「信頼済みプロセスの悪用（Trusted Process Abuse）」検知ルールの見直しも必要だ。
  • 技術的背景: 攻撃チェーンは精巧だ：一時ディレクトリをCloud Syncプロバイダとして登録し、EICARファイルを配置、DefenderのスキャンパスをSystem32に誘導し、CLFSを使ってIDファイルとハイドレーションデータをphoneinfo.dllにすり替え、QueueReportingタスクを実行する。これは「セキュリティ製品の正当な機能（クラウドハイドレーションスキャン）」を悪用した、いわゆる「Living Off The Land」の極致とも言える。Nightmare EclipseのPatch Tuesday直後の公開パターンは、Microsoftの修正サイクルを意識した「ディスクロージャー戦術」として注目されている。
  • 業界トレンド: セキュリティ製品（EDR/AV）自体の脆弱性が攻撃対象となる事例は増加しており、セキュリティツールが「ブラインドスポット」となるリスクが現実化している。攻撃者は「検知されることを恐れない」だけでなく、「検知ツールそのものを利用する」段階に入っている。

参照元

4. VMware vCenterのCritical RCE、reverse SSHで永続化

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: BleepingComputer

概要

VMware vCenter ServerのSyslog Serverに存在する重大な脆弱性（CVE-2026-59310）が、活発な攻撃キャンペーンで悪用されている。攻撃者はこのRCE脆弱性を利用して、reverse SSHツールを展開し、データセンター内での永続化およびリモートアクセスを確保している。

考察

  • 実務対策: vCenterは仮想化環境の「王冠の宝石」であり、侵害されると全ゲストVMの管理・削除・暗号化が攻撃者の支配下に置かれる。即座のパッチ適用に加え、vCenter管理ネットワークの厳格なセグメンテーション（VLAN分離、ACL制限）を実施する。reverse SSHは外向き通信を利用するため、vCenterからのインターネット outbound 接続を必要最低限に制限する。vCenterのSSHログ、特に不審なプロセス生成や外部IPへの接続を監視する。
  • 技術的背景: Syslog Serverが攻撃対象となっている点は興味深い。本来はログを受け取る「受動的」なコンポーネントだが、入力検証の不備によりRCEの足がかりとなっている。reverse SSHは、ファイアウォールのインバウンドルールを迂回する標準的な手法であり、vCenterのような重要サーバーからの「外向きSSH」は通常発生しないため、検知のチャンスはある。
  • 業界トレンド: vCenterやESXiの脆弱性は、ランサムウェアグループ（特にESXi ArgsやBlackCat/ALPHV系）にとって「効率の良い標的」であり続けている。仮想化基盤の侵害は、1つの脆弱性で数百〜数千のワークロードを同時に暗号化できるため、攻撃者にとってリターンが極めて大きい。

参照元

5. WordPress 7.0.4、Imagick/Ghostscript経由のRCEをパッチ

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: SecurityWeek

概要

WordPress 7.0.4が、Author権限以上の認証済み攻撃者が悪用可能なリモートコード実行（RCE）脆弱性（CVE-2026-65640、CVSS 8.8）を修正した。脆弱性はImagick拡張とGhostscriptの連携に起因し、攻撃者はPNGなどの画像ファイルに埋め込んだPostScriptをアップロードすることで、サーバー上で任意のコードを実行できる。修正は4.7系までバックポートされている。

考察

  • 実務対策: 多著者サイト、会員制サイト、クライアントサイトなど「Author権限以上を持つ不特定多数のユーザー」が存在する環境では、理論上の脅威ではなく現実的な攻撃となる。まずWordPress 7.0.4（または4.7以降の最新バックポート版）への更新を急ぐ。併せて、ImagickとGhostscriptの使用状況を確認し、不要であればImagick拡張の無効化を検討する。ファイルアップロード機能を持つユーザーの権限を「Contributor」以下に引き下げることも有効な緩和策だ。
  • 技術的背景: この脆弱性の根源は「WordPressはファイル拡張子で、ImageMagickはファイル内容で判断する」という処理のミスマッチにある。WordPressがPNGとして受け入れたファイルをImageMagickがPostScriptとして認識し、Ghostscriptを呼び出すことでコード実行が発生する。WordPress 7.0.4での修正は、load()関数でImagickに渡す前にファイル内容を確認し、PostScript実行を防止するものだ。これは「ファイルアップロード機能のセキュリティモデル」と「画像処理ライブラリの柔軟性」の間の古典的な衝突と言える。
  • 業界トレンド: Ghostscriptの脆弱性は、ImageMagickやWordPressだけでなく、多くのWebアプリケーションに波及する「サプライチェーン的なリスク」となっている。CMSの「多著者化」や「メンバーシップ化」が進む中、認証済みRCEのリスクは年々増大している。

参照元

まとめ

本日のニュースは、企業の「認証・認可基盤（SharePoint）」「OS基盤（Windows）」「仮想化基盤（vCenter）」「Web公開基盤（WordPress）」という多層的なインフラが、ほぼ同時にクリティカルな脅威に晒されていることを示している。特に、SharePointの認証バイパスがPoC直後から悪用されている点、そしてWindowsに2件のゼロデイ（LegacyHiveとShieldBreak）が出現した点は、企業のセキュリティ運用チームに対して「全層同時対応」を要求している。

今後の注視ポイントとしては、第一に「PoC公開後の悪用ラグ」が事実上なくなっているため、パッチ管理のSLA見直しが急務であること。第二に、Nightmare Eclipseのような研究者による「Patch Tuesday直後のゼロデイ公開」が常態化しており、OSおよびセキュリティ製品自体の堅牢性が問われていること。第三に、Ghostscript/Imagickのような画像処理ライブラリや、vCenter Syslogのような「補助的」に見えるコンポーネントが、実は重大な攻撃面であることを再認識すること、が挙げられる。これらの脆弱性は単独でも深刻だが、複合的に悪用された場合の影響は計り知れない。防御側も、層を横断した脅威モデルの更新と、即応性を持ったパッチ運用の両方を並行して進める必要がある。

参照元