オンプレミス版のMicrosoft SharePoint Server 2016 および 2019 は、2026年7月14日（現地時間）でサポートが終了しました。同じ月、SharePoint Serverを狙った攻撃はむしろ激しくなっています。JPCERT/CCは2026年7月31日、7月の注意喚起を更新し、リモートコード実行の脆弱性 CVE-2026-50522 について実証コードの公開と実際の攻撃観測を追記しました。
結論を先に言えば、2026年7月14日に配布されたセキュリティ更新プログラムが、2016/2019にとって最後の1本です。今後SharePoint Serverに新たな脆弱性が見つかっても、この2つのバージョンには修正が届きません。まずは自社のファームのビルド番号を確認し、7月分が当たっているかを今日中に確かめてください。なお、クラウド版のSharePoint（Microsoft 365）は本件の対象外です。
この記事でわかること：
- JPCERT/CCが7月31日に追記した2点（CVE-2026-50522の悪用状況／サポート終了）
- 2026年7月14日に同時にサポート終了した製品群と、ESU（有償の延長更新）の有無
- ビルド番号で「7月分が当たっているか」を5分で判定する方法
- 「7月分を当てたから安心」が通用しない理由
何が起きたのか
JPCERT/CCは2026年7月15日に「2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起」（JPCERT-AT-2026-0020）を公開し、7月31日に更新しました。改訂履歴に記載された追記は次の2点です。
- CVE-2026-50522の悪用状況。同脆弱性は米CISAのKEV（悪用が確認された脆弱性）カタログに登録済みで、JPCERT/CCは「セキュリティ研究者により脆弱性の実証コードとみられる情報が公開されており、watchTowrが本脆弱性の実証コードを用いた攻撃を同社のハニーポットで観測し、SharePoint Serverからマシンキーが窃取されたと示す情報を公開しています」と記しています。
- サポート終了の周知。「SharePoint Server 2019およびSharePoint Server 2016は、2026年7月14日（現地時間）をもってサポートが終了しています。サポート対象の製品への移行をご検討ください」と追記されました。
つまり、「攻撃が現在進行中である」ことと「もう修正が来ない」ことが、同じ注意喚起の中で同時に告げられたわけです。当サイトでも7月中にSharePoint Serverの悪用とCISAの緊急対策要請、およびCVE-2026-50522のKEV追加を取り上げましたが、本記事はその続きとして「サポートが切れた側」を扱います。
2026年7月14日に何が終わったのか
Microsoftのライフサイクル情報によると、SharePoint Server 2016（提供開始2016年5月1日、メインストリーム終了2021年7月13日）とSharePoint Server 2019（提供開始2018年10月22日、メインストリーム終了2024年1月9日）は、いずれも延長サポートが2026年7月14日で終了しています。
見落としやすいのは、同じ日にサポートが終わった製品が他にもあり、その多くがSharePoint環境の周辺にいるという点です。Microsoftの「Ending Support in 2026」に掲載された2026年7月14日終了分から抜き出します。
| 製品 | SharePoint環境との関係 |
|---|---|
| SharePoint Server 2016 / 2019 | 本体 |
| Project Server 2016 / 2019 | SharePointファーム上で動作する |
| SQL Server 2016 | コンテンツDBの土台になっていることが多い |
| SharePoint Designer 2013 | ワークフロー・画面カスタマイズに使われてきた |
| InfoPath 2013 | SharePointのフォーム作成に使われてきた |
1台のSharePointファームを開けたら、本体・Project Server・土台のSQL Serverまで同時にサポート切れ、という構図が現実に起こりえます。これは「SharePointだけ移行すれば終わり」ではないことを意味します。
ESU（有償の延長セキュリティ更新）で時間は買えるのか
Windows 10やWindows Server 2012のように、サポート終了後も有償で更新を受け取れるESU（Extended Security Updates）という仕組みがあります。ただしMicrosoftのESUに関するFAQに掲載されている対象製品表には、Windows Embedded POSReady 7／SQL Server 2012／Windows Server 2012・2012 R2／SQL Server 2014／Windows 10しか記載がなく、SharePoint Serverは含まれていません（同ページの更新日は2025年10月17日）。執筆時点で、SharePoint Server 2016/2019向けのESU提供は確認できていません。
SQL Server については過去にESUが提供された実績があるため、SQL Server 2016 の扱いは別途ライセンス窓口に確認する価値があります。一方SharePoint本体については、「お金を払って猶予を買う」という選択肢が現時点で見当たらないと考えて計画を立てるのが安全です。移行先はSharePoint Server Subscription Edition、またはSharePoint（Microsoft 365）になります。
自社は該当するか：ビルド番号で判定する
まず確認すべきは「7月14日の最後の更新が当たっているか」です。MSRC（Microsoft セキュリティ レスポンス センター）が公開している情報から、7月に悪用が問題になった3件のCVEと、その修正ビルドを整理します。
| 製品 | 7月の最終KB | この番号以上なら適用済み |
|---|---|---|
| SharePoint Enterprise Server 2016 | KB5002891 | 16.0.5561.1001 |
| SharePoint Server 2019 | KB5002883 | 16.0.10417.20175 |
| SharePoint Server Subscription Edition | KB5002882 | 16.0.19725.20434 |
この3つのKBはCVE-2026-50522とCVE-2026-56164の修正を含み、MSRCの情報では先に出たKB5002880／KB5002874／KB5002873（CVE-2026-58644の修正）を置き換える扱いになっています。つまり上表のビルド番号に達していれば、7月に悪用が確認された3件はいずれも塞がっていることになります。適用漏れの有無は各KBのページでも照合してください。
ファームのビルド番号は、SharePoint 管理シェルで次のように確認できます。
(Get-SPFarm).BuildVersion- またはサーバーの全体管理 →「アップグレードと移行」→「サーバーの製品とパッチのインストール状況の確認」
複数台構成では全サーバーで揃っているかを必ず見てください。1台だけ更新に失敗して古いまま、というのは珍しくありません。
「7月分を当てたから安心」が通用しない3つの理由
ベンダーの「悪用あり」フラグだけを見ていると取りこぼす
MSRCの脆弱性情報を確認すると、CVE-2026-50522の「Exploited（悪用の有無）」は執筆時点で「No」のままです（最終更新2026年7月14日）。一方でCISAはKEVカタログに登録し、JPCERT/CCは実際の攻撃観測を伝えています。ベンダーの悪用フラグを優先度判定の唯一の入口にしている組織は、CVSS 9.8のこの1件を「悪用されていない緊急」として後回しにしかねません。悪用の判断材料は、ベンダー・CISA KEV・JPCERT/CCを重ねて見る必要があります。
スコアが低いから安全、でもない
同じ7月に悪用が確認されたCVE-2026-56164は、MSRCの評価では深刻度Moderate・CVSS基本値5.3にとどまります。重大な機能の認証欠落（CWE-306）で、権限昇格につながるものです。「7.0以上を当月対応」といったスコア基準のトリアージを運用していると、現に悪用されている脆弱性が基準の下に沈むことになります。判断材料はスコアではなく、悪用の事実と資産の重要度に置き換えるべき典型例です。
マシンキーが盗まれていれば、更新後も入られる
JPCERT/CCが引用したwatchTowrの報告は、攻撃者がSharePoint Serverからマシンキーを窃取したことを示すものです。マシンキーはASP.NETが認証情報の署名・暗号化に使う鍵で、これを持たれると、脆弱性を塞いだ後でも正規に見えるリクエストを作られてしまいます。パッチ適用と侵害調査、そして必要ならマシンキーのローテーションはセットの作業です。JPCERT/CCも「速やかに対策および侵害有無の調査を実施することを推奨します」と書いています。この手口の詳細は先の記事で整理しています。
現場目線：これはパッチ適用ではなく移行プロジェクト
正直なところ、この話がつらいのは「今日やれること」と「本当に必要なこと」の距離が遠い点です。パッチ適用なら深夜メンテナンス1回で片が付きますが、SharePointの移行は違います。長年の運用で作り込まれたワークフロー、カスタムWebパーツ、InfoPathのフォーム、部門が勝手に増やしたサイトコレクション。棚卸しの段階で「これは誰が使っているのか分からない」が必ず出てきます。しかもSharePointは情シスが主導して入れたとは限らず、業務部門の資料置き場として育ってきたケースが多い。移行の可否を決めるのに、まず利用実態を知っている人を探すところから始まるのが実情ではないでしょうか。
だからこそ、今回の「サポート終了と悪用が同時に来た」という事実は、稟議の材料としては強い部類に入ります。「いつか移行したい」ではなく「修正が二度と出ない製品が、現に攻撃されている」と言えるからです。移行完了までには時間がかかる前提で、その間の露出を下げる暫定策（インターネットからの直接公開をやめる、VPNやリバースプロキシの内側に置く、管理系エンドポイントへのアクセス元を絞る）を先に打っておくのが現実的です。2026年4月のSharePointゼロデイから数えて、この製品は数か月おきに悪用対象になっています。次が来ないと考える理由はありません。
情シスはどうすべきか
個別のチェックリストを自前で並べるより、公的機関の指針を土台にしたほうが早く、社内説明にも使えます。
- 中小企業の情報セキュリティ対策ガイドライン（IPA）：資産の把握と優先順位づけの考え方が整理されています。サポート切れ資産の扱いを社内規程に落とす際の下敷きになります。
- ランサムウェア対策特設ページ（IPA）：オンプレのRCEは侵入の入口になります。侵入後を想定した備えの点検に使えます。
- セキュリティインシデント対応 机上演習教材（IPA）：「侵害されていた場合に誰が何を決めるか」を事前に通しておくと、実際の調査判断が速くなります。
あわせて、利用者側への周知も忘れないでください。移行期間中は「見た目が変わる」「URLが変わる」といった変化が続き、それに便乗したフィッシングが成立しやすくなります。移行の告知は情シスの正規チャネルからのみ行うと決め、事前に周知しておくだけでも効果があります。
まとめ
- SharePoint Server 2016/2019は2026年7月14日でサポート終了。7月14日配布分が最後の更新で、以後の新たな脆弱性には修正が出ません。ESUの対象製品表にもSharePoint Serverの記載はありません。
- 終了直後の現在も悪用は継続中。JPCERT/CCは7月31日、CVE-2026-50522の実証コード公開とマシンキー窃取を示す攻撃観測を追記しました。まずビルド番号（2016: 16.0.5561.1001／2019: 16.0.10417.20175／SE: 16.0.19725.20434）で7月分の適用を確認してください。
- 優先度はスコアやベンダーのフラグではなく、悪用の事実と資産の重要度で決める。悪用中のCVE-2026-56164はCVSS 5.3、CVE-2026-50522はMSRC上「悪用なし」表示のままです。並行して、移行までの露出低減とマシンキーを含む侵害調査を進めましょう。
出典
- JPCERT/CC「2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起」（JPCERT-AT-2026-0020、2026-07-15公開／2026-07-31更新）
- Microsoft Lifecycle「SharePoint Server 2016」 / 「SharePoint Server 2019」
- Microsoft Lifecycle「Ending Support in 2026」
- Microsoft「Product Lifecycle FAQ – Extended Security Updates」
- MSRC CVE-2026-50522 / CVE-2026-58644 / CVE-2026-56164
- Microsoft「SharePoint Server サブスクリプション エディションへのアップグレード」
- CISA Known Exploited Vulnerabilities Catalog
