「SharePoint」「Zimbra」の脆弱性悪用に注意 - 米当局が注意喚起

米当局は、「Microsoft SharePoint」および「Zimbra Collaboration Suite」の既知脆弱性が悪用されているとして注意喚起を行った。とくに「SharePoint」の脆弱性については3日以内に対応を終えるよう求めている。

同庁は現地時間2026年3月18日、脆弱性「CVE-2026-20963」「CVE-2025-66376」を「悪用が確認された脆弱性カタログ（KEV）」へ追加し、米国内の行政機関へ対策を促すとともに広く注意を呼びかけた。

「CVE-2026-20963」は、「Microsoft SharePoint」において信頼できないデータのデシリアライズ処理に起因し、リモートよりコードを実行されるおそれがある脆弱性。

同庁では、米行政機関における対応期限を追加より3日後、週末にも重なる現地時間2026年3月21日と指定。早急に対応するよう求めている。

マイクロソフトでは、「CVE-2026-20963」を2026年1月の月例セキュリティ更新で修正していた。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」と高いが、重要度については4段階中、上から2番目にあたる「重要（Important）」としている。

一方「CVE-2025-66376」は、メールやグループウェアを提供する「Zimbra Collaboration Suite（ZCS）」の脆弱性。「クラシックUI」のCSS処理に判明したクロスサイトスクリプティング（XSS）の脆弱性で、米行政機関の対応期限については2026年4月1日とした。

（Security NEXT - 2026/03/19 ）ツイート