オンプレミス版Microsoft Exchange Serverに影響を及ぼす可能性のある、認証前リモートコード実行チェーンについて、一般公開されているPoC(概念実証)リポジトリが注目を集めています。
このリポジトリが参照しているのはCVE-2026-62911で、Pwn2Own Berlin 2026の後に公開されたExchangeの認証バイパス脆弱性です。
ただし防御側としては、公開された攻撃コードについて、隔離された管理下の実験環境で独自に検証するまでは、未検証のものとして扱うべきです。
Microsoftのアドバイザリおよびゼロデイイニシアティブ(ZDI)は、CVE-2026-62911を単独の未認証RCE脆弱性としてではなく、キャプチャ・リプレイ型の認証バイパスを伴う権限昇格の脆弱性として分類しています。
ZDIはこの問題をZDI-26-538として追跡しており、原因をExchangeの認可処理におけるセッション管理の不備としています。通常であれば認証が必要ですが、報告によれば、脆弱な仕組みは特定の条件下でバイパスできるとのことです。
他の脆弱性と組み合わせることで、この弱点はSYSTEM権限での任意コード実行につながる可能性があります。
報告によれば、この脆弱性はPwn2Own Berlin 2026において、DEVCOREの研究者Orange Tsai氏によって、3つの脆弱性を組み合わせたExchangeのエクスプロイトチェーンの一部として実演されました。このデモではSYSTEM権限でのコード実行に成功し、20万ドルの報奨金を獲得しています。
新たに出回っているPoCは、ExchangeのMailbox Replication Service Proxy(MRSProxy)を利用した攻撃手順を説明しています。それによると、攻撃者はあるExchangeサーバーからNTLM認証を強制的に取得し、それを別のサーバーのMRSProxyサービスへリレーできるとされています。
このリレーの仕組みは特に懸念される点です。標的となるHTTP.sysでホストされたMRSProxyエンドポイントは、Extended Protection for Authentication(EPA)のチャネルバインディングを強制せずにNegotiate認証を受け付けてしまうと報告されているためです。
NTLMリレー攻撃では、EPAによる保護が存在しないと、認証が意図された保護済みチャネルを経由して行われたことを対象サービス側が確認できなくなる場合があります。
hypnguyen氏によれば、リレーされた認証情報を悪用することで、Windows Communication Foundationのメールボックスレプリケーション操作を利用し、サーバー側でのファイル書き込みが可能になるとされています。
その後攻撃者は、IISからアクセス可能なディレクトリにASPXペイロードを書き込み、Exchange Webサーバー経由でそれを呼び出すことができるとされています。
この手順が成功すれば、任意ファイル書き込みの能力が、Exchangeプロセスのコンテキスト下で動作するWebシェルによるコマンド実行へと変わり、場合によってはSYSTEM権限で実行される可能性があります。
関連する脆弱性ZDI-26-535は、Exchangeのメールボックスレプリケーション機能におけるファイルパスの外部制御に関するものです。ZDIによれば、ファイル操作前にユーザー指定のパスに対する検証が不十分であるため、任意コード実行が可能になるとしています。
この違いは運用上重要です。CVE-2026-62911単体を「認証前RCE」と表現するべきではありません。報告されている影響は、認証バイパスまたはリレー動作、認可の弱点、強制取得の手法、そして任意ファイル書き込みの条件が組み合わさって初めて成立するものです。
影響を受けるバージョンには、Exchange Server 2016 CU23、Exchange Server 2019 CU14およびCU15、Exchange Server Subscription Edition RTMが含まれると報告されています。修正済みビルドのしきい値は以下の通りです。
各組織はMicrosoftの2026年8月分Exchangeセキュリティ更新を適用し、導入済みのビルド番号を確認するとともに、MRSProxyが外部からアクセス可能な状態になっていないかを確認する必要があります。
また管理者は、Exchangeの各サービスでEPAを有効化し、不要な受信アクセスを制限したうえで、Exchangeサーバー間の異常なNTLM認証を監視し、IISおよびExchangeのディレクトリ内に新規作成されたASPXファイルがないか調査すべきです。
不審な挙動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査体制を強化する
翻訳元: https://cyberpress.org/poc-released-microsoft-exchange/
