SharePoint Server にゼロデイ（CVE-2026-32201）— 4月の更新で修正、未適用のサーバーが多数残る

何が起きたか

Microsoft は 2026年4月14日の月例更新で、社内設置型の SharePoint Server の脆弱性（CVE-2026-32201）を修正し、すでに悪用されていると公表しました。入力のチェックが不十分なため、ログインしていない攻撃者が一部の情報を見たり書き換えたりできる「なりすまし」の脆弱性です。深刻度は CVSS 6.5 と中程度ですが、CISA は同日 KEV に登録しました。

1週間後の時点でも、インターネットに公開された未更新のサーバーが1,300台以上あると報じられています。その後、別の SharePoint の脆弱性と組み合わせて外からプログラムを動かす攻撃にも使われたと報告されました。

影響を受けたのは

• SharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Edition
• Microsoft 365 の SharePoint Online は対象外

自社で確認したいこと

• 4月の更新プログラムを当て、案内どおりサービスの再起動まで行う
• 深刻度の数字が中程度でも、「悪用あり」なら先に当てる
• SharePoint を社外から直接見えるところに置かない
• サポート終了が近い 2016 / 2019 は、移行の計画を立てる