AIを活用したクラウド型サイバーセキュリティソリューションの世界的リーダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、NASDAQ：CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、MicrosoftのSharePointに発見された重大な脆弱性（CVE-2025-53770）を悪用するサイバー攻撃の世界的な急増に関する調査結果を発表しました。

•オンプレミスのMicrosoft SharePointで発見された重大なゼロデイ脆弱性（CVE-2025-53770）を積極的に悪用した攻撃の世界的な急増が確認されています。•「ToolShell」と命名されたこのキャンペーンは、オンプレミスのSharePoint Serverへの不正アクセスを可能にし、企業環境に深刻なリスクをもたらしています。•CPRは2025年7月7日に悪用の兆候を初めて確認し、以来、北米と西ヨーロッパの政府機関、電気通信業界、ソフトウェア業界において、多くのサーバーに対する侵害を確認しています。•このキャンペーンでは攻撃者によるIvanti Endpointの既知の脆弱性の悪用も判明しており、一層の警戒が必要です。

オンプレミスのMicrosoft SharePointで発見された重大なゼロデイ脆弱性（CVE-2025-53770）を積極的に悪用した攻撃の世界的な急増が確認されています。

「ToolShell」と命名されたこのキャンペーンは、オンプレミスのSharePoint Serverへの不正アクセスを可能にし、企業環境に深刻なリスクをもたらしています。

CPRは2025年7月7日に悪用の兆候を初めて確認し、以来、北米と西ヨーロッパの政府機関、電気通信業界、ソフトウェア業界において、多くのサーバーに対する侵害を確認しています。

このキャンペーンでは攻撃者によるIvanti Endpointの既知の脆弱性の悪用も判明しており、一層の警戒が必要です。

現在、重要なゼロデイ脆弱性である「SharePointのリモートコード実行（RCE）」が、サイバー攻撃に活発に悪用されています。この「CVE-2025-53770」として追跡されてきた脆弱性は「ToolShell」の名称で呼ばれ、オンプレミスのMicrosoft SharePoint Serverに悪影響を及ぼしています。これにより、攻撃者は認証されていないにも関わらず、完全なアクセス権の取得と、任意のコードのリモート実行が可能になります。この件に関してMicrosoftは公式ガイダンスを発表、またCISAからは警告が出されており、7月20日以降に公開された最新のパッチ適用などガイダンスに沿って早急に対応することを推奨します。

CPRは、この脆弱性に対する悪用の試みが7月7日に初めて観測され、西ヨーロッパの主要な政府機関が標的となったことを発見しました。攻撃は7月18日および19日に激化し、以下のIPアドレスに関連するインフラが使用されていました。

上記のIPアドレスの1つは、「Ivanti EPMM（エンドポイントマネージャーモバイル）脆弱性チェーン」（CVE-2025-4427およびCVE-2025-4428）に対する悪用にも関連していました。

攻撃ベクターにはカスタムのWebシェルが含まれており、それによってVIEWSTATEペイロードからパラメータ解析を実行することで、逆シリアル化攻撃が可能になっています。この攻撃の標的となった主な業界は、以下の通りです。

攻撃対象となった主要な地域は北米と西ヨーロッパで、特にSharePointをオンプレミスで運用している組織が影響を受けました。

この攻撃が防御側と企業にとって意味することこの悪用キャンペーンが浮き彫りにしているのは、レガシーおよびオンプレミスのインフラに対する監視と防御の重要性です。脅威アクターは、パッチが適用されていないCVE-2025-53770のようなSharePointの脆弱性の悪用を急速に進め、以前から知られている脆弱性（CVE-2025-49706など）と連鎖させることで、初期アクセスの獲得と権限の昇格を可能にしています。

この事例は、機密データおよび重要システムを管理する業界を狙う標的型攻撃において、SharePointのゼロデイ脆弱性が悪用されるという、新たな一例となっています。

防御のための推奨事項SharePointの脆弱性（CVE-2025-53770）および関連する脅威がもたらすリスクの軽減には、下記の対策が重要です。

•マルウェア対策スキャンインターフェース（AMSI）が有効になっていることを確認•SharePoint ServerのASP.NETマシンキーの定期的なローテーションを実施•チェック・ポイントのHarmony Endpointを実装し、サーバー上でのポストエクスプロイト活動をブロック•可能な場合にはPrivate Accessツールを使用し、インターネットからのSharePoint Serverへのアクセスを制限•チェック・ポイントのQuantum Gateway IPSパッケージ635254838を更新し、保護が「防止」に設定され、SharePoint Serverのトラフィック検査を実施することを確認

マルウェア対策スキャンインターフェース（AMSI）が有効になっていることを確認

チェック・ポイントのHarmony Endpointを実装し、サーバー上でのポストエクスプロイト活動をブロック

疑わしい活動の兆候がある場合は、Check Point Incident Responseまでご連絡ください。

Check Point ResearchについてCheck Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。ブログ:https://research.checkpoint.com/X:https://x.com/_cpresearch_

チェック・ポイントについてチェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、デジタルトラストのリーディングプロバイダーとして、AIを駆使したサイバーセキュリティソリューションを通じて世界各国の10万を超える組織を保護しています。同社のInfinity Platformとオープンガーデン型エコシステムは、防止優先のアプローチで業界最高レベルのセキュリティ効果を実現しながらリスクを削減します。SASEを中核としたハイブリッドメッシュネットワークアーキテクチャを採用するInfinity Platformは、オンプレミス、クラウド、ワークスペース環境の管理を統合し、企業とサービスプロバイダーに柔軟性、シンプルさ、拡張性を提供します。Check Point Software Technologiesの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

本件に関する報道関係者からのお問い合わせチェック・ポイント広報事務局 （合同会社NEXT PR内）Tel: 03-4405-9537　Fax: 03-6739-3934E-mail: checkpointPR@next-pr.co.jp