📌 エグゼクティブサマリー

🚨 重要ポイント

CVE-2026-50522 は通常のパッチ適用対象ではありません。公開エクスプロイトの報告、KEV 登録、マシンキー窃取の観測を伴う重大な RCE です。

• 攻撃者はこの欠陥を悪用して SharePoint マシンキーを取得したと報告されています。
• 窃取されたマシンキーにより、偽造された認証トークンや、パッチ適用後も残る可能性のあるアクセスが可能になる可能性があります。
• パッチ適用で脆弱性は解消されますが、露呈していたサーバーでは引き続きハンティングとキーのローテーションが必要です。
• インターネットに公開されたオンプレミス SharePoint サーバーは緊急リスクとして扱う必要があります。

🧭 攻撃経路

flowchart TD
    A[Remote attacker] --> B[Reachable on-prem SharePoint]
    B --> C[Crafted request to sign-in/auth surface]
    C --> D[Unsafe deserialization]
    D --> E[Remote code execution]
    E --> F[Machine-key theft]
    F --> G[Forge auth tokens/cookies]
    G --> H[Impersonate users]
    H --> I[Access SharePoint sites and documents]
    F --> J[Persistence after patch if keys not rotated]

🧩 影響を受けるバージョンと修正

🧠 根本原因の概要

ZDI は影響を受ける領域を SessionSecurityTokenHandler クラスと特定しています。この欠陥は、ユーザー指定データの検証不足に起因し、影響を受ける SharePoint インストール環境で安全でないデシリアライゼーションとリモートコード実行を可能にします。

公開レポートでは、SharePoint のサインイン処理と /_trust/default.aspx に関わる PoC 経路が説明されています。SharePoint のソースコードとパッチ差分が公開されていないため、正確な実装詳細は限られています。

🔥 脅威インテリジェンスの概要

🕒 調査タイムライン

timeline
    title CVE-2026-50522 Timeline
    2026-05-21 : Reported to vendor via ZDI/Pwn2Own path
    2026-07-14 : Microsoft advisory and patches released
    2026-07-15 : ZDI advisory published
    2026-07-17 : Exposure advisory and early exploitation reporting window
    2026-07-20 : Public PoC reportedly appears; exploitation observed within hours
    2026-07-22 : CISA adds CVE-2026-50522 to KEV
    2026-07-25 : CISA remediation due date
    2026-07-27 : Report finalized

🛠️ 防御側の対応計画

即時対応 — 最初の24時間

• すべてのオンプレミス SharePoint サーバーを棚卸しする。
• インターネット公開およびパートナーがアクセス可能なファームを優先する。
• Microsoft 2026年7月 SharePoint アップデートを適用する。
• すべてのファームメンバーで修正ビルドを検証する。
• IIS、ULS、WAF、Defender、Windows、EDR のログを保全する。
• 不審な POST /_trust/default.aspx アクティビティをハンティングする。
• w3wp.exe がコマンドラインツールを起動していないかハンティングする。
• 新規または変更された .aspx、.ashx、.asmx、.dll、web.config ファイルをハンティングする。
• Microsoft Defender/AMSI の検出結果をレビューする。

堅牢化 — 次の7日間

• すべての SharePoint Web アプリケーションで AMSI 統合を有効化/検証する。
• 可能な場合は Request Body Scan フルモードを使用する。
• 直接のインターネット公開を排除する。
• SharePoint を認証付きレイヤー 7 リバースプロキシ/WAF の背後に配置する。
• 外部からの Central Administration アクセスをブロックする。
• ファーム/データベース間の通信を制限する。
• サービスアカウント、ファーム管理者、タイマージョブ、スケジュールタスク、ファームソリューションをレビューする。
• 該当する場合、サポート終了の SharePoint 2016/2019 からの移行を計画する。

🔎 優先度の高い検出アイデア

Web / IIS / WAF

POST /_trust/default.aspx
AND request contains any of:
  SecurityContextToken
  BinaryFormatter
  AAEAAAD

エンドポイント / EDR

Parent process: w3wp.exe
Child process: cmd.exe, powershell.exe, pwsh.exe, certutil.exe, bitsadmin.exe,
               mshta.exe, rundll32.exe, regsvr32.exe, cscript.exe, wscript.exe

ファイル整合性

Monitor:
C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS\
C:\inetpub\wwwroot\wss\VirtualDirectories\

Alert on new or modified:
*.aspx, *.ashx, *.asmx, *.dll, web.config

CISA ガイダンスに基づく Microsoft Defender / AMSI 検出名

Exploit:Script/SuspSignoutReqBody.A
Exploit:Script/ToolPaneAuthBypass.A
Exploit:Script/ToolPaneAuthBypass.C
Backdoor:MSIL/LeakFang.A!dha

📊 リスクマトリクス

✅ 確認済みインディケータとギャップ

📚 完全版レポート

詳細なアナリストレポートはこのリポジトリで入手できます:

➡️ CVE-2026-50522_CTI_Report.md

内容は次のとおりです:

• 公式 CVE 詳細
• CPE 検証
• 根本原因分析
• エクスプロイト成熟度の評価
• 脅威インテリジェンスの調査結果
• IOC テーブル
• MITRE ATT&CK マッピング
• Sigma のアイデア
• Wazuh ガイダンス
• Splunk SPL
• Microsoft Sentinel KQL
• Snort/Suricata シグネチャ
• リスク評価
• 緩和策プレイブック
• エビデンスの出典テーブル
• 前提条件と制約事項

🔗 主な参考情報

• Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522
• CVE.org: https://www.cve.org/CVERecord?id=CVE-2026-50522
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-50522
• CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-50522
• ZDI-26-412: https://www.zerodayinitiative.com/advisories/ZDI-26-412/
• NHS England Alert: https://digital.nhs.uk/cyber-alerts/2026/cc-4818
• BleepingComputer: https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/
• Censys Advisory: https://censys.com/advisory/cve-2026-50522-cve-2026-58644/