オンラインに公開されているマイクロソフトExchangeサーバーのうち、約22,000台が高深刻度の認証バイパス脆弱性に対して未パッチのままとなっており、攻撃者がすべてのユーザーのメールボックスを乗っ取ることが可能な状態にあります。
CVE-2026-62911として追跡されているこの脆弱性は、DEVCORE Research TeamのOrange Tsai氏によって報告されたもので、Exchange Server 2016、Exchange Server 2019、Exchange Server Subscription Edition(SE)に影響します。対象サーバー上で基本的な権限を持つ脅威アクターは、ユーザーの操作を必要とする低難度の攻撃でこれを悪用できます。
「マイクロソフトExchange Serverにおけるキャプチャ・リプレイによる認証バイパスにより、権限を持つ攻撃者がネットワーク経由で権限を昇格させることが可能です」と、マイクロソフトは述べています。この脆弱性は2026年8月のPatch Tuesdayで修正されました。
「攻撃者はすべてのExchangeユーザーのメールボックスを乗っ取ることが可能になり、メールの送信、閲覧、添付ファイルのダウンロードができるようになります」
マイクロソフトはまだCVE-2026-62911の勧告を更新してこの点を確認していませんが、オランダの国家サイバーセキュリティセンター(NCSC-NL)は先週、この脆弱性を悪用するエクスプロイトコードがすでにオンラインで出回っていると報告しました。
「マイクロソフトはこれらの脆弱性に対処するための更新プログラムを公開しています。できるだけ早くこれらの更新をインストールしてください」とNCSC-NLは警告しています。
「Exchange Server 2016と2019は、拡張セキュリティ更新プログラム(ESU)を通じてのみセキュリティ更新を受け取ります。これらのバージョンのいずれかを使用していますか?その場合は、サーバーを内部からのみアクセス可能な状態にし、可能であれば置き換えてください」
火曜日には、脅威監視団体Shadowserverも、マイクロソフトExchange Serverのフィンガープリントを持つ21,899個のIPアドレスが依然として未パッチのままオンラインに公開されていると警告しました。その大半は米国(6,200)とドイツ(5,100)に集中しています。
CVE-2026-62911については、まだ実際の攻撃での悪用は確認されていません。一方、マイクロソフトは6月に、Outlook Web Accessのユーザーを狙ったクロスサイトスクリプティング(XSS)攻撃で悪用された別のExchange Server脆弱性(CVE-2026-42897)を修正しています。
米国サイバーセキュリティ・インフラセキュリティ庁(CISA)も、CVE-2026-42897の脆弱性を5月15日に既知の悪用済み脆弱性(Known Exploited Vulnerabilities)カタログに追加し、米国政府機関に対して2週間以内にサーバーへパッチを適用するよう命じました。
2021年11月以降、CISAはマイクロソフトExchange Serverの脆弱性20件を実際に悪用が確認されたセキュリティ問題のリストに追加しており、そのうち14件はランサムウェア攻撃での悪用も確認されています。
10月には、マイクロソフトがExchange 2016と2019のサポート終了を発表したのを受け、CISAと米国家安全保障局(NSA)がExchangeサーバーを攻撃から強化するための共同ガイダンスを発表しました。
その2か月前にも、マイクロソフトはExchange 2016とExchange 2019のセキュリティ更新が拡張セキュリティ更新(ESU)プログラムを通じて2026年10月に提供終了となることを顧客に改めて注意喚起していました。
