2万2000台のExchangeサーバーがメールボックス乗っ取りの脆弱性にさらされる

企業のメールは、たった一つの低権限アカウントが侵害されるだけで攻撃者の手に渡ってしまう可能性があります。インターネットに公開されているMicrosoft Exchangeサーバーのうち、約2万2000台が、全従業員のメールボックスを乗っ取られかねない脆弱性CVE-2026-62911の修正プログラムを適用していないことが分かりました。

キャプチャ・リプレイによる認証バイパス

Microsoftはこの脆弱性を評価し、CVSS 3.1スコアで10点満点中8.0を付け、キャプチャ・リプレイによる認証バイパスに分類しています。この種の攻撃では、以前に傍受されたリクエストが再度サーバーに送信され、システムはそれを正規のものとして受け入れてしまいます。権限を昇格させた攻撃者は、メッセージの閲覧や添付ファイルのダウンロード、さらにはユーザーになりすましたメール送信も可能になります。

Microsoftの公式評価では、基本的な権限とユーザーによる何らかの操作が前提とされています。しかしZero Day Initiativeは、アカウントも被害者の操作も必要としない、別の認証バイパスの手口について説明しています。この脆弱性を発見したのはDEVCOREの研究者Orange Tsai氏で、修正プログラムは2026年8月11日にリリースされました。

公開状態にあるサーバーは2万2000台近くに

Shadowserverの調査によると、無防備なExchangeサーバーの兆候を示すIPアドレスは2万1899件見つかりました。国別で最も多かったのはアメリカで約6200件、次いでドイツの5100件でした。ドイツのBSI(連邦情報セキュリティ庁)は、同国内のオンプレミスExchangeサーバーの約85%が依然として脆弱な状態にあると推定しています。

影響を受けるのはExchange Server 2016、Exchange Server 2019、Exchange Server Subscription Editionです。オランダの国家サイバーセキュリティセンター(NCSC)は、エクスプロイトコードがすでに公開されていると警告しています。この記事の公開時点では、実際の攻撃が確認されたという報告はありませんでした。

パッチ適用と緩和策のガイダンス

管理者は8月のセキュリティ更新プログラムまたはそれ以降のバージョンを適用し、外部からアクセス可能なすべてのサーバーのビルドを確認したうえで、ログイン記録とメール操作のログを点検する必要があります。Exchange 2016および2019は、Extended Security Updatesプログラムを通じてのみ修正プログラムの提供を受けられます。したがって、古いシステムはインターネットから遮断し、Exchange Server Subscription Editionへの置き換えを進めるべきです。