米CISA（サイバーセキュリティ・インフラセキュリティ庁）は2026年7月22日、悪用が確認された脆弱性2件を「KEV（Known Exploited Vulnerabilities：悪用が確認された脆弱性）」カタログに追加しました。対象はMicrosoft SharePoint ServerのCVE-2026-50522（CVSS 9.8）と、Check Point SmartConsoleのCVE-2026-16232（CVSS 9.3）です。どちらも認証なしで悪用され得る深刻な欠陥で、米連邦政府機関には7月25日までの対応が義務づけられました。自社でオンプレミスのSharePoint Server、またはCheck Pointの管理製品を運用しているなら、パッチ適用状況とインターネットへの露出を今すぐ確認すべき状況です。
この記事でわかること：
- 今回KEVに追加された2件のCVEの内容と深刻度
- SharePointの新たな欠陥（CVE-2026-50522）と、先の一連の脆弱性との違い
- 2件に共通する「インターネット露出」というリスクの本質と、情シスが今すぐ確認すべきこと
何が起きたのか
CISAのKEVカタログは、「実際に攻撃で悪用されている」と確認された脆弱性だけを載せる、いわば緊急度の最上位リストです。ここに載るということは、理論上のリスクではなく、すでに攻撃者が悪用しているという意味になります。今回追加されたのは次の2件です。
| CVE番号 | 製品 | 内容 | CVSS |
|---|---|---|---|
| CVE-2026-50522 | Microsoft SharePoint Server（オンプレミス） | 信頼できないデータのデシリアライゼーションによる、認証不要のリモートコード実行（RCE） | 9.8（緊急） |
| CVE-2026-16232 | Check Point SmartConsole | 認証不備（認証バイパス）。管理者権限の奪取・セキュリティ設定の改ざんのおそれ | 9.3（緊急） |
いずれもKEV登録日は2026年7月22日、連邦機関の対応期限は同7月25日です。行政の期限は民間に直接適用されるものではありませんが、「これだけ短い期限を切るほど緊急」という目安として受け止めるのが妥当です。
SharePointの新たな脆弱性はどこが違うのか
結論から言うと、7月14日に注意喚起された一連のSharePoint脆弱性とは別のCVEです。当サイトでも先にSharePoint Serverの複数脆弱性（CVE-2026-58644ほか）を取り上げましたが、今回KEVに追加されたCVE-2026-50522はそれとは異なる欠陥で、Microsoftの2026年7月14日の月例更新で修正されたものです。
対象はオンプレミス版のSharePoint Enterprise Server 2016 / 2019 / Subscription Editionです。クラウド版（Microsoft 365 の SharePoint Online）は対象外ですが、オンプレを1台でも運用しているなら影響を精査する必要があります。認証も利用者の操作も不要で、ネットワーク越しに任意コードを実行される恐れがあり、CVSSは最高水準の9.8です。
なぜ急に悪用が広がったのか
実証コード（PoC）の公開が引き金になったためです。複数のセキュリティ企業の観測によれば、7月20日ごろに有効な実証コードが公開されると、その直後から実際の攻撃に転用され、数時間のうちに脆弱なサーバーが侵害される事例が確認されたとされています。パッチ提供（7月14日）から実証コード公開・悪用（7月20日前後）まで1週間もなかった計算で、「次の定例メンテナンスまで待つ」という運用では間に合わない典型例です。悪用コードが公開された脆弱性の危うさは、Firefoxの更新（悪用コード公開）でも触れたとおりで、公開＝時間との勝負に切り替わります。
Check Pointの欠陥は「管理画面の露出」が条件
Check PointのSmartConsole（Security Management / Multi-Domain Management で使う管理コンソール）のCVE-2026-16232は、認証の不備を突くものです。条件がそろうと、認証されていない遠隔の攻撃者がアプリケーションのログイントークンを取得し、ファイアウォールのポリシーやVPN、ログ設定などを管理者権限で改ざんできるおそれがあります。セキュリティ機器そのものの制御を奪われるという、影響の大きい欠陥です。
ただし悪用には条件があります。Check Pointの説明によれば、管理サーバーのIPアドレスにインターネットからアクセスでき、かつ「Trusted Clients（信頼するGUIクライアント）」でアクセス元IPを制限していない構成が狙われます。裏を返せば、管理インターフェースをインターネットに直接さらしていなければ、遠隔からの悪用リスクは大きく下がります。対象は R77.30〜R82.10 の広範なバージョンで、Check Pointは2026年7月22日のJumboホットフィックスで修正を提供しています。
2件に共通する本質は何か
「本来インターネットにさらすべきでない面（サーバー・管理画面）が露出している」という点が共通しています。SharePoint Serverも、ファイアウォールの管理コンソールも、外部から直接叩ける状態にあることが被害を広げます。自社にどんな資産が、意図せず外部から見える状態になっているかを把握する取り組みは、EASM（外部攻撃対象領域管理）の考え方そのものです。個別のCVE対応と並行して、「そもそも外から見えているか」を棚卸しする視点が効いてきます。
情シスはどうすべきか
やるべきことはシンプルですが、優先度が高い順に整理します。
- SharePoint Server（オンプレ）：2026年7月14日の更新プログラムが適用済みか確認する。未適用なら最優先で適用。すでに悪用が広がっているため、侵害の痕跡（不審なプロセス・Webシェル・マシンキーの窃取兆候）も併せて点検する。クラウド版のみの利用なら今回は対象外。
- Check Point SmartConsole：7月22日のJumboホットフィックスを適用する。加えて、管理サーバーをインターネットに露出していないか、Trusted Clientsでアクセス元IPを絞っているかを確認する。
- 共通：管理インターフェースや業務サーバーが意図せず外部公開されていないかを棚卸しする。
対策の全体像を整えるうえでは、IPAの公的資料が参考になります。組織規模に応じた進め方は中小企業の情報セキュリティ対策ガイドラインが、日々の運用と利用者への注意喚起は対策のしおりがまとまっています。まずはこちらを起点に、自組織のパッチ運用と露出管理の抜けを洗い出すとよいでしょう。
現場目線の所感
正直なところ、パッチ提供から数日で実証コードが出回り、そこから数時間で悪用が始まる、というスピード感は現場にとってかなり厳しいものです。定例更新のたびに「本当に全台に当たったか」を追いきれず、1台だけ取り残されたオンプレ機が忘れたころに狙われる——という不安は、限られた人員で運用していると常につきまといます。だからこそ、個々のパッチ適用を頑張るのと同じくらい、「そもそも外に出さない」「管理画面は社内やVPN経由に限定する」という設計側の一手が効いてきます。今回の2件は製品こそ違いますが、露出面を減らしておくことが最も安く効く防御だと改めて感じさせる事例でした。
まとめ
- CISAは2026年7月22日、悪用中のSharePoint Server（CVE-2026-50522、CVSS 9.8）とCheck Point SmartConsole（CVE-2026-16232、CVSS 9.3）をKEVに追加した。
- SharePointの欠陥は7月14日の更新で修正済みだが、実証コード公開後に急速に悪用が広がった。オンプレ運用なら適用状況と侵害痕跡を至急確認する。
- Check Pointの欠陥は管理画面をインターネットに露出している構成が狙われる。ホットフィックス適用とアクセス元IP制限を実施し、共通課題として「露出面の棚卸し」に取り組む。
出典
- CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog」（2026年7月22日）：https://www.cisa.gov/news-events/alerts/2026/07/22/cisa-adds-two-known-exploited-vulnerabilities-catalog
- CISA KEV カタログ：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Security NEXT「『SharePoint』『Check Point』の脆弱性悪用で警告 – 米当局」：https://www.security-next.com/187752
