2026年7月の実悪用Zero-day ― AD FS / SharePointから見る「Trust Infrastructure」の守り方
Executive Summary
Microsoftは2026年7月のSecurity Updateで、CVE-2026-56155（AD FS）とCVE-2026-56164（SharePoint Server）がPatch公開前から実際に悪用されていたことを公表しました。IPAも日本企業へ至急のUpdate適用を呼びかけています。1
注目すべきはPatch件数の多さではありません。AD FSはToken Signing等のIdentity Trust、SharePointはBusiness Content / Collaborationへ深く接続します。侵害時のBlast Radiusが大きい基盤を最優先で守る必要があります。
なぜ今なのか
7月Updateでは多数のCVEが公開されましたが、企業がすべてを同じUrgencyで扱うことはできません。
優先順位はCVSSや件数だけでなく、
- Active Exploitation
- Internet Exposure
- Privilege / Trust
- Asset Criticality
- Compensating Control
- Recovery Difficulty
で判断すべきです。
AD FSで何が問題だったか
MicrosoftのSupport情報では、AD FSがToken Signing / Token Encryption CertificateのPrivate Key保護に利用するDistributed Key Manager（DKM）ContainerのACLが過度に広い場合、DKM Key Materialを読める攻撃者がToken Signing Private Keyを復号できる可能性が説明されています。
Microsoftは7月からAudit Modeを開始し、今後さらにHardeningを進める計画を示しています。
これは単なるServer EoPではなく、Identity Trust InfrastructureのKey Material保護として扱うべき問題です。
経営インパクト
| 観点 | 影響 |
|---|---|
| Identity Trust | Token Signing Key侵害は認証基盤全体の信頼へ影響 |
| Collaboration | SharePoint侵害は情報漏えい・横展開へつながり得る |
| Patch Priority | 「件数」より実悪用 × 重要Assetで優先する必要 |
| Legacy Risk | On-prem Identity / Collaboration基盤の残存Riskが顕在化 |
日本企業への示唆
Cloud移行済みでも、AD FSやOn-prem SharePointが例外用途・Legacy System連携のため残っている企業があります。
「主システムではない」ため監視やPatchが弱くなっているLegacy Trust Infrastructureこそ、攻撃者にとって有効な入口になる可能性があります。
推奨アクション
- AD FS / SharePointの利用有無とExposureを緊急棚卸しする
- 7月以降のSecurity Update適用状況を確認する
- AD FS DKM ACL Audit Eventを確認する
- Token Signing / Encryption Keyの保護・Rotation手順を確認する
- Legacy Federationの廃止計画を再評価する
- Vulnerability PriorityにKEV / Exploitation / Asset Criticalityを組み込む
用語解説
AD FS (Active Directory Federation Services)
MicrosoftのFederation / SSO基盤。Token Signing等のTrust機能を提供します。
DKM (Distributed Key Manager)
AD FS等が秘密情報を保護するためにActive Directory内で利用する仕組み。