Shadowserver Foundationによる日次スキャンによると、認証バイパスを引き起こす重大な脆弱性CVE-2026-62911に対して、約22,000台のMicrosoft Exchangeサーバーが依然としてパッチ未適用の状態にあることが分かりました。
米国とドイツが最多で、それぞれ6,200台、5,100台のパッチ未適用サーバーを抱えています。
CVE-2026-62911は深刻度が「重大(Critical)」の脆弱性で、Microsoftは「Microsoft Exchange Serverにおけるキャプチャー・リプレイによる認証バイパス」であり、認証済みの攻撃者がネットワーク経由で権限を昇格できる問題だと説明しています。
Microsoftは2026年8月11日に修正パッチをリリースしており、発見者としてDEVCORE Research TeamのOrange Tsai氏を挙げています。同氏はTrend MicroのZero Day Initiativeと協力して脆弱性を発見しました。
Microsoftはまだアドバイザリでこの点を確認していませんが、オランダの国家サイバーセキュリティセンター(NCSC-NL)は先週、この脆弱性を突く実働エクスプロイトがすでにネット上で出回っていると警告を発しました。
NCSC-NLは「Microsoft Exchange Serverには複数の深刻な脆弱性が見つかっています。そのうちの一つがCVE-2026-62911で、CVSSスコアは8.0です」と警告しています。
「Microsoftはこれらの脆弱性に対応するアップデートを公開しています。できるだけ早くこれらのアップデートを導入してください」とNCSC-NLは述べています。「Exchange Server 2016および2019は、Extended Security Updates(ESU)プログラムを通じてのみセキュリティアップデートを受け取れます。これらのバージョンをお使いですか?その場合は、サーバーを内部からのみアクセス可能な状態にし、可能であれば別のものに置き換えてください」
「自組織がどのバージョンのExchange Serverを使用しているか分からない場合は、IT管理者またはITサービスプロバイダーにお問い合わせください」とNCSC-NLは付け加えています。
ドイツ連邦情報セキュリティ庁(BSI)は2026年8月28日、自国のオンプレミスExchangeサーバーの約85パーセントが依然としてCVE-2026-62911の影響を受ける状態にあると、Mastodonアカウントで明らかにしました。
2026年6月、Microsoftは積極的に悪用されていたMicrosoft Exchange Serverの脆弱性CVE-2026-42897を修正しています。
「Exchange Server 2016および2019はサポートが終了しています。2026年5月から10月の間にリリースされるExchange Server 2016および2019向けのセキュリティアップデートを受け取れるのは、Period 2 Extended Security Update(ESU)プログラムに登録した顧客のみです」とMicrosoftは自社ブログで述べています。
