JVN iPediaは2026年10月20日、Microsoft SharePoint Serverの脆弱性「CVE-2026-108452」の情報を掲載しました。対象は16.0.20326.20190未満で、認可された攻撃者がネットワーク経由でコードを実行する恐れがあります。利用企業は、稼働している版を確認し、ベンダーの対策情報と照合する必要があります。
対象版と攻撃の条件
今回の問題は、ファイルやフォルダーの参照先を不適切にたどる「パストラバーサル」の脆弱性です。JVN iPediaでは、深刻さを評価する指標「CVSS v3」の基本値を8.8、深刻度を「重要」としています。
攻撃条件の複雑さは「低」、必要な特権レベルも「低」と評価されています。また、攻撃に利用者の関与は不要です。認可された攻撃者による攻撃が想定されており、誰でも認証なしに攻撃できるという説明ではありません。一方、利用者が操作しなければ安全、という条件でもありません。
確認すべきなのは、製品名だけではなく、実際に稼働している版です。影響対象は「16.0.20326.20190未満」と明示されています。利用版が分からない環境は、対象外と判断せず、運用担当者や保守委託先への確認を進める必要があります。
情報の漏えい・書き換え・停止の恐れ
JVN iPediaは、ソフトウェアが扱う全情報が外部に漏れる恐れや、全情報が書き換えられる恐れを挙げています。ソフトウェアが完全に停止する恐れもあります。情報の保護だけでなく、業務を続けられるかという観点でも確認が必要です。
ただし、これらは脆弱性が悪用された場合に想定される影響です。今回の資料には、実際の攻撃や情報漏えいが発生したとの記載はありません。社内への連絡でも、「脆弱性の対象」と「被害が発生した状態」を分けて伝えてください。
JVN iPediaは、ベンダー情報を参照して適切な対策を実施するよう求めています。今回の資料には、具体的な更新プログラム名や適用手順の記載はありません。対象版の境界だけを根拠に更新先を決めず、ベンダー情報で対策内容を確かめることが重要です。
影響する会社・しない会社
- 影響する: Microsoft SharePoint Server 16.0.20326.20190未満を利用している会社です。自社で管理していなくても、利用環境の運用を委託している場合は、委託先に稼働版を確認してください。
- 影響する: Microsoft SharePoint Serverを利用していて、稼働版を把握できていない会社は確認が必要です。版が不明な段階では、今回の対象に含まれるか判断できません。
- 影響しない: Microsoft SharePoint Serverを利用していない会社は、記載された対象製品には該当しません。ただし、他の製品やサービスへの影響は今回の資料には書かれていません。SharePoint Onlineについても、今回の資料だけで影響の有無を判断しないでください。
情シスが今日やること
以下は、今回の対象範囲を踏まえた確認手順です。資料には、管理画面の具体的な確認箇所や対策期限は書かれていません。
- 本日中を目安に利用環境を洗い出す。 IT資産台帳や保守契約の一覧でMicrosoft SharePoint Serverの有無を確認します。管理者と保守委託先に、稼働版とその確認結果の提示を依頼してください。
- 稼働版を対象条件と照合する。 16.0.20326.20190未満かを確認し、環境ごとに「対象」「記載された対象範囲外」「版が未確認」を分けて記録します。未回答の委託先には回答予定日も確認します。
- ベンダー情報で対策を決める。 CVE-2026-108452に対応する情報を確認し、必要な対策、作業条件、実施可能日を整理します。具体的な対策が分からない場合は、保守窓口に確認してください。
- 関係者に判断材料を渡す。 対象環境がある場合は、情報セキュリティ責任者と利用部門へ、対象版、想定される影響、対策予定を知らせます。業務停止を伴う作業かどうかも確認し、担当者と実施日を決めてください。
