出典: Security NEXT – https://www.security-next.com/182359
「SharePoint」「Zimbra」の脆弱性悪用に注意 – 米当局が緊急注意喚起
米国の当局は、Microsoftの「SharePoint」とメール・グループウェアの「Zimbra Collaboration Suite（ZCS）」に存在する既知の脆弱性が実際に悪用されているとして、迅速な対応を強く呼びかけています。特に「SharePoint」の脆弱性については、3日以内の修正完了が求められています。
主要なポイント
- 脆弱性の特定と悪用状況：「CVE-2026-20963」（SharePoint）と「CVE-2025-66376」（Zimbra）が悪用されていることが確認され、米当局はこれらを「悪用が確認された脆弱性カタログ（KEV）」に追加しました。
- SharePointの脆弱性詳細：「CVE-2026-20963」は信頼できないデータのデシリアライズ処理に起因し、リモートから任意のコード実行が可能となる深刻な脆弱性です。CVSSv3.1スコアは9.8と非常に高い評価を受けています。
- Zimbraの脆弱性詳細：「CVE-2025-66376」はZimbraのクラシックUIにおけるクロスサイトスクリプティング（XSS）脆弱性で、悪用によりユーザーの権限を乗っ取られるリスクがあります。
- 対応期限の設定：米行政機関にはSharePointの脆弱性対応を2026年3月21日まで、Zimbraは2026年4月1日までに完了するよう指示が出されています。
- 既存の修正パッチ：Microsoftは2026年1月の月例セキュリティ更新でSharePointの脆弱性を修正済みであり、速やかなアップデート適用が推奨されます。
技術的な詳細や背景情報
今回問題となった「CVE-2026-20963」は、デシリアライズ処理の脆弱性です。デシリアライズとは、保存や通信のためにオブジェクトをバイト列に変換したものを元のオブジェクトに戻す処理ですが、信頼できないデータをそのままデシリアライズすると、悪意あるコードが実行される恐れがあります。この脆弱性を利用すると、攻撃者はリモートから任意のコードを実行し、システムの制御を奪うことが可能です。
一方、「CVE-2025-66376」はZimbraのクラシックUIに存在するクロスサイトスクリプティング（XSS）脆弱性です。XSSは、ウェブページに悪意あるスクリプトを埋め込み、ユーザーのブラウザ上で実行させる攻撃手法で、セッションハイジャックや情報漏えいのリスクを伴います。
影響や重要性
これらの脆弱性は、企業や行政機関の重要なコミュニケーション基盤であるSharePointやZimbraに影響を及ぼします。特にSharePointは多くの組織で文書管理や情報共有に利用されているため、脆弱性が悪用されると機密情報の漏洩や業務妨害につながる恐れがあります。
米当局が短期間での対応を求めていることからも、攻撃の実態や被害の拡大が懸念されていることがうかがえます。日本を含む世界中の組織でも同様のリスクが存在するため、早急なパッチ適用とセキュリティ対策の強化が必要です。
まとめ
Microsoft SharePointの「CVE-2026-20963」とZimbra Collaboration Suiteの「CVE-2025-66376」という深刻な脆弱性が実際に悪用されていることが米国当局により明らかになりました。特にSharePointの脆弱性はリモートからの任意コード実行を許すもので、迅速な対応が強く求められています。利用者は既に提供されているセキュリティアップデートを速やかに適用し、システムの安全性を確保することが重要です。
