SharePoint Server にゼロデイ「ToolShell」（CVE-2025-53770）— 社内に置いた SharePoint が認証なしで乗っ取られる

何が起きたか

2025年7月18日ごろから、社内サーバーで動かす SharePoint Server を狙った攻撃が世界中で確認されました。認証なしで外から好きなプログラムを動かされる脆弱性で、一連の攻撃は「ToolShell」と呼ばれました。7月の月例更新で直したはずの穴（CVE-2025-49704 / 49706）を回避する手口で、新たに CVE-2025-53770（CVSS 9.8）と CVE-2025-53771 が割り当てられ、Microsoft は7月20日以降に修正版を出しました。CISA は同日、KEV（実際に悪用された脆弱性の一覧）に追加しています。

影響を受けたのは

• 社内（またはクラウド上の仮想サーバー）で動かす SharePoint Server Subscription Edition / 2019 / 2016
• サポートが終わった 2013 以前も対象とされ、修正版は出ていません
• Microsoft 365 の SharePoint Online は対象外とされました

自社で確認したいこと

• 修正版を当てる。サポート切れの版はインターネットから切り離す
• 修正の前後で ASP.NET のマシンキー（暗号の鍵）を入れ替え、IIS を再起動する。鍵が盗まれていると、更新後も入り込まれるおそれがあるため
• AMSI（ウイルス対策との連携機能）を有効にし、EDR を入れる
• ToolPane.aspx への不審なアクセスがないかログを確認する