対象：Microsoft SharePoint Server（Subscription Edition、2019、2016）を自社のサーバーで動かしている組織と、その保守を受けている事業者。Microsoft 365のSharePoint Onlineは勧告に載っていません。本記事はMicrosoftのセキュリティ更新プログラムガイド、NVD、米CISAのKEV一覧にもとづく解説で、攻撃の手順や攻撃コードは載せません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Microsoft SharePoint Server（Subscription Edition、2019、2016）を自社のサーバーで動かしている組織と、その保守を受けている事業者。Microsoft 365のSharePoint Onlineは勧告に載っていません。
- 影響が確認された範囲表で見る ↓
- 対象の製品と修正ビルド
- ログインの要否
- 実際の攻撃
可能性があるとされた項目
- 匿名での閲覧を許すサイトでのログインなしの試み
- 未確認事項
- 攻撃や侵害を受けたサーバーの数
- 2026年6月に修正された別の不具合のCVE番号と、Microsoftが両者を関連づけるか
- サーバーでコードを実行した攻撃者が何をしたか
- 今やること手順を見る ↓
- ファーム内のすべてのサーバーでビルドを確かめる
- 自分の版向けの更新をすべて入れる
- 2026年6月の更新も入っているか確かめる
さらに2件
- 匿名アクセスを見直す
- 更新が遅れていたサーバーを点検する
- 確認先（出典）出典の一覧 ↓
- Microsoft セキュリティ更新プログラムガイド「CVE-2026-65660 Microsoft SharePoint Server Remote Code Execution Vulnerability」（2026年8月11日、改訂1.2は9月25日）
- 最終確認日時
- 2026年10月31日（日本時間）時点
発表の続報予定と確認の記録
Microsoftの勧告（改訂1.2、9月25日）とKEVへの登録は公開済みです。10月31日に、Microsoftのセキュリティ更新プログラムガイド、NVD、米CISAのKEVのフィード（版2026.10.30）を確認しました。
今日やること
ファーム内のすべてのサーバーでビルドを確かめる
SharePointのサーバーの全体管理、または各サーバーのPowerShellで、入っているビルドを読み、自分の版の修正ビルドと比べます。Subscription Editionは16.0.19725.20522、2019は16.0.10417.20198、2016は16.0.5565.1001です。検索用やアプリケーション用のサーバーも含め、ファーム内のすべてのサーバーを確かめます。
自分の版向けの更新をすべて入れる
Subscription EditionはKB5002893。SharePoint Server 2019はKB5002894とKB5002896。SharePoint Enterprise Server 2016はKB5002905とKB5002906。MicrosoftのFAQは、入っているソフト向けに出ている更新をすべて入れるよう求めています。入れたあと、各サーバーでSharePoint製品構成ウィザード（またはPSConfig）を実行し、更新を完了させます。
2026年6月の更新も入っているか確かめる
セキュリティ企業によると、攻撃の試みはこの脆弱性と、別の研究チームが2026年6月9日に修正されたとする別の不具合を組み合わせていました。8月の更新だけでなく、2026年6月のSharePointの更新も入っているか確かめます。
匿名アクセスを見直す
セキュリティ企業が説明する攻撃の試みは、匿名での閲覧を許すサイトを前提にしています。匿名アクセスを有効にしているWebアプリケーションとサイトを洗い出し、要らないところは無効にします。公開する必要がないならSharePointをインターネットから外し、できればサインインを求める中継装置の内側に置きます。
更新が遅れていたサーバーを点検する
KEVはこのCVEを米CISAのフォレンジック確認の対象にしています。一般的な点検として（当サイトの提案）、チームが置いていない.aspxや.dllのファイルがSharePointのWebフォルダーにないか、IISのワーカープロセスが起動した見覚えのないプロセスがないか、IISのログに見覚えのない接続元からの不自然なPOSTのリクエストがないかを確かめます。説明のつかないものが見つかったら、サーバーをネットワークから切り離し、インシデント対応の担当を入れ、つなぎ直す前にサーバーが持つ認証情報と鍵を作り直します。
公表された内容
- 製品
- Microsoft SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016（社内設置型）
- 種類
- コードインジェクション（CWE-94）
- 認証
- 必要（低い権限で足りる）。利用者の操作は不要（Microsoft）
- 深刻度
- CVSS v3.1で8.8。Microsoftの評価は「重要」
- 修正ビルド
- Subscription Edition 16.0.19725.20522（KB5002893）、2019 16.0.10417.20198（KB5002894、KB5002896）、2016 16.0.5565.1001（KB5002905、KB5002906）
- 公開日
- 2026年8月11日（月例のセキュリティ更新）
- 悪用
- 2026年9月25日時点で「攻撃が観測された確かな証拠」がある（Microsoft）
- KEV
- 2026年9月25日に追加、期限は9月28日。米CISAのフォレンジック確認の対象にも指定
1. ビルドを確かめる
ファーム内のすべてのサーバー
2. 更新をすべて入れる
8月のKBと、6月の更新も
3. 見直して点検する
匿名アクセスと侵害の跡
時系列
2026年6月9日
ある研究チームによると、匿名でリクエストを届かせる別のSharePointの不具合がこの日に修正された（その記事ではCVE番号は特定されていない）。8月11日
MicrosoftがCVE-2026-65660とセキュリティ更新を公開。当初は「なりすまし」の脆弱性と説明。8月27日
Microsoftが題名・影響・FAQをリモートコード実行に改める（改訂1.1。情報の更新のみとの扱い）。9月24日
セキュリティ企業が、攻撃を観測するためのおとりのサーバー（ハニーポット）で、この脆弱性と匿名の経路の別の不具合を組み合わせた攻撃の試みを観測したと報告。9月25日
Microsoftが、攻撃が観測された確かな証拠があると追記（改訂1.2）。米CISAがKEVに追加し、期限を9月28日とする。10月31日
Microsoftの勧告の追加の改訂はなし。
分かっていること・分かっていないこと
| 項目 | 出典の内容 | 状態 |
|---|---|---|
| 対象の製品と修正ビルド | 社内設置型の3つの版。8月11日の更新 | 確定（Microsoft） |
| ログインの要否 | 低い権限で足り、利用者の操作は不要 | 確定（Microsoft） |
| 実際の攻撃 | 攻撃が観測された確かな証拠（9月25日） | 悪用を確認（Microsoft） |
| 匿名での閲覧を許すサイトでのログインなしの試み | 攻撃を観測するためのおとりのサーバー（ハニーポット）で、別の不具合と組み合わせた試みを観測 | 可能性 |
| 6月の不具合のCVE番号 | 確認した出典では特定されていない | 記載なし |
| 侵害されたサーバーの数 | 公表なし | 記載なし |
| SharePoint Online | Microsoftの勧告に載っていない | 記載なし |
10月31日時点で、Microsoftの勧告データの要約欄は「Exploited: No」のままでしたが、9月25日の改訂の注記は攻撃が観測されたとしています。改訂の注記のほうが後の説明で、米CISAも悪用が確認されたCVEとして登録しています。
最初の分類が影響した理由
8月11日に更新が出たとき、勧告はこれを「なりすまし」の脆弱性としていました。リモートコード実行に変わったのは8月27日で、Microsoftはこの改訂を情報の更新のみとして扱い、改訂1.1を通知の対象にしませんでした。8月の更新を影響の種類で並べたチームは、他の修正より後に回した可能性があります。
SharePointのファームで言える教訓は、CVEごとの分類で選ぶのではなく、毎月のSharePointの更新をまとめて入れることです。分類は公開後に変わることがあり、ログインが要る脆弱性も、その条件をなくす別の不具合と組み合わされることがあります。
出典
2026年10月31日（日本時間）に確認。
- Microsoft セキュリティ更新プログラムガイド「CVE-2026-65660 Microsoft SharePoint Server Remote Code Execution Vulnerability」（2026年8月11日、改訂1.2は9月25日） — msrc.microsoft.com
- NVD「CVE-2026-65660」 — nvd.nist.gov
- 米CISA「Known Exploited Vulnerabilities Catalog」（2026年9月25日に追加） — cisa.gov
- セキュリティ企業による攻撃の試みの報告（2026年9月24日、25日に追記） — blog.previdian.com
更新履歴
2026-10-31：初版。Microsoftのセキュリティ更新プログラムガイド、NVD、米CISAのKEV一覧、セキュリティ企業の報告にもとづく。
次に読む
- 同じ時期の悪用事例：悪用が確認された境界機器の脆弱性まとめ（2026年10月中旬）
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 侵害の確かめ方：サーバーが不正アクセスされたか調べる方法
- 対応手順：脆弱性が公表されたときの対応手順
- 用語：リモートコード実行（RCE）とは ／ CVSSとは