フランスのCERT-FRは2026年10月15日、Microsoft SharePoint Server Subscription Editionの脆弱性情報を公開しました。16.0.20326.20190未満のバージョンが対象で、攻撃者が権限昇格を引き起こす恐れがあります。利用企業は、導入している製品名とバージョンを確認し、Microsoftの修正情報を調べる必要があります。
対象はSubscription Editionの特定バージョン
脆弱性の識別番号はCVE-2026-88164です。権限昇格とは、本来認められていない強い権限を得ることを指します。CERT-FRはこの脆弱性によって権限昇格が起きる恐れを示していますが、今回の資料には、攻撃に必要な条件や悪用の有無は書かれていません。
対象製品として挙げられているのは、Microsoft SharePoint Server Subscription Editionです。SharePointという名前だけで一律に判断せず、製品の正式名と、16.0.20326.20190未満という条件を照合することが確認の出発点になります。
製品名が一致していても、版が未確認のままでは対象かどうかを判断できません。資産台帳の記録だけで確認できない場合は、運用担当者や保守委託先に、現在稼働しているバージョンの確認を依頼してください。
修正プログラムはMicrosoftの情報を参照
CERT-FRのアドバイザリー番号はCERTFR-2026-AVI-1323で、最終更新日は2026年10月15日です。情報源は、Microsoftが2026年10月13日に公開したセキュリティ情報です。
CERT-FRは、修正プログラムの入手についてMicrosoftの情報を参照するよう案内しています。資料にはMicrosoftの脆弱性情報ページへのリンクが掲載されています。更新を計画する際は、その案内先で該当する修正プログラムと適用手順を確認してください。
今回の資料には、具体的な更新プログラム番号や適用操作は書かれていません。また、修正プログラムの日本での提供は発表には書かれていません。対象版の条件と、実際に適用する修正プログラムの選定は分けて確認する必要があります。
影響する会社・しない会社
- 影響する: Microsoft SharePoint Server Subscription Editionの16.0.20326.20190未満を利用している会社です。自社で運用している場合だけでなく、運用を委託している場合も、委託先への版の確認を進めてください。
- 影響しない: 同製品の16.0.20326.20190以上は、今回示された影響対象の範囲には含まれていません。ただし、これはCVE-2026-88164の対象条件についての整理であり、ほかの脆弱性への対応状況を示すものではありません。
情シスが今日やること
以下は社内で進めるための手順です。発表には対応期限は書かれていません。
- 今日の確認として、IT資産台帳や運用資料からMicrosoft SharePoint Server Subscription Editionの利用有無を洗い出します。「SharePoint」とだけ記録されているものは、正式な製品名を運用担当者に確認してください。
- 該当製品の担当者か保守委託先に、稼働中のバージョンと確認結果の記録を依頼します。管理画面の具体的な確認箇所は資料には書かれていないため、利用環境の運用手順に沿って確認してください。版が不明なものは、対象外とせず未確認として残します。
- 16.0.20326.20190未満だった場合は、CERT-FRの案内先にあるMicrosoftの情報で、CVE-2026-88164の修正プログラムと適用手順を確認します。更新の実施前に、保守担当者と適用内容を共有してください。
- 対象システムの業務責任者に、対象版であることと修正情報の確認状況を知らせ、適用日程を調整します。更新後はバージョンを再確認し、対象判定、適用内容、確認結果を対応記録に残してください。
