最近の脆弱性 › CVE-2025-49704

Microsoft SharePoint のコードインジェクションの脆弱性（CVE-2025-49704）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-49704
製品	Microsoft SharePoint
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-07-22
米国政府機関の対応期限	2025-07-23
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-94

何が起きた

Microsoft SharePoint Server に、外から送り込んだコードを実行されてしまうコードインジェクションの弱点が見つかり、実際の悪用が確認されています。NVD の評価では、一般利用者程度の権限を持つ攻撃者が、ネットワーク経由で、利用者の操作なしに悪用できます。Microsoft の説明では、ログイン済みの攻撃者なら管理者権限がなくても悪用できるとする一方、攻撃の例としては少なくともサイト所有者としてログインした攻撃者を挙げています。この弱点は CVE-2025-49706 と組み合わせて悪用できるとされ、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

オンプレミス（自社で運用する形）の SharePoint Enterprise Server 2016 と SharePoint Server 2019 を使っている組織が対象です。Microsoft によると、それぞれ 16.0.5508.1000、16.0.10417.20027 より前のビルドが影響を受けます。

何をすればいい

Microsoft の公式の案内を確認し、2016 には KB5002744、2019 には KB5002741 の更新を適用します。CVE-2025-53770 はこの弱点の修正を回避するもので、その更新のほうがより強い保護を含むため、あわせて適用します。CISA は、サポートが終わった SharePoint Server 2013 以前の版がインターネットに公開されている場合、切り離すよう求めています。

やることチェックリスト

SharePoint 2016 は KB5002744 を適用する
SharePoint 2019 は KB5002741 を適用する
CVE-2025-53770 の更新もあわせて適用する

用語メモ

コードインジェクション: 攻撃者が用意したプログラムの断片を送り込み、相手のシステムで実行させる攻撃のことです。
オンプレミス: クラウドではなく、自社でサーバーを用意して運用する形のことです。
サイト所有者: SharePoint のサイトを管理できる権限を持つ利用者のことです。

元データ（英語・CISA KEV より）

Microsoft SharePoint Code Injection Vulnerability

概要

Microsoft SharePoint contains a code injection vulnerability that could allow an authorized attacker to execute code over a network. This vulnerability could be chained with CVE-2025-49706. CVE-2025-53770 is a patch bypass for CVE-2025-49704, and the updates for CVE-2025-53770 include more robust protection than those for CVE-2025-49704.

推奨対応

Disconnect public-facing versions of SharePoint Server that have reached their end-of-life (EOL) or end-of-service (EOS) to include SharePoint Server 2013 and earlier versions. For supported versions, please follow the mitigations according to CISA (URL listed below in Notes) and vendor instructions (URL listed below in Notes). Adhere to the applicable BOD 22-01 guidance for cloud services or discontinue use of the product if mitigations are not available.