Microsoftが10月に公開したWindowsの更新プログラムにより、一部のExchangeサーバーでメール配信に支障が出ています。日常的なセキュリティ保守が、業務停止につながりかねない事態となっています。
Microsoftは、10月13日に公開したWindows Serverのセキュリティ更新プログラムが、オンプレミス版Exchange Serverの一部の環境に影響を及ぼすことを認めました。Webメールへのアクセス、メッセージの配信、メールボックスの可用性に問題が生じる可能性があります。同社は、原因は別途公開されたExchange Serverの10月のセキュリティ更新プログラムではなく、Windowsの更新プログラムにあるとしています。
影響を受けるのは、Exchange Server 2016、Exchange Server 2019、Exchange Server Subscription Edition(SE)です。問題の原因として特定されたWindows Serverの更新プログラムは、次の4件です。
- KB5126646:Windows Server 2025
- KB5126655:Windows Server 2022
- KB5126651:Windows Server 2019
- KB5126868:Windows Server 2016
MicrosoftのExchangeチームによると、影響を受けたサーバーではMapiExceptionMdbOfflineエラーが表示され、アプリケーションログにイベントID 1006が記録される場合があります。管理者は、メールキューの増加、Outlook on the web(OWA)へのサインイン失敗、Database Availability Group(DAG)メンバーがクォーラムを維持できなくなる問題などを確認する可能性もあります。Microsoftは、問題の深刻度はサーバーのワークロードによって異なり、症状が現れないシステムもあるとしています。
Microsoftはレジストリによる回避策を推奨
MicrosoftのWindowsリリース正常性に関する通知によると、10月の更新プログラムでは、Endpoint Mapperのメモリ上限が導入されました。この上限は、512件の同時Endpoint Lookup呼び出しに相当します。高負荷時のExchangeのワークロードに対しては、この上限では不十分な場合があります。
Endpoint Mapperは、Windowsのサービスがリモートプロシージャコール(RPC)接続を確立する際に役立つ仕組みです。Exchangeの負荷が高い状況では、既定の上限では足りなくなり、最終的にコンポーネント間の通信が途絶してメールサービスに影響が及びます。
MicrosoftのExchangeチームは、Windowsの更新プログラムをアンインストールしないよう勧めています。代わりに推奨するのが、同時呼び出しの上限を引き上げ、Endpoint Mapperがより多くのメモリを使えるようにするレジストリの回避策です。管理者は、影響を受けるExchangeサーバーで管理者権限のコマンドプロンプトから次のコマンドを実行し、サーバーを再起動してください。
reg add “HKLM\SOFTWARE\Microsoft\Rpc” /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f
Microsoftは、同社が支援した顧客のケースでは、この変更で問題を解消できたとしています。管理者は再起動後にサーバーを監視し、問題が再発する場合は上限をさらに引き上げる必要があります。Microsoftは、調査を継続しながら、この問題を「緩和済み」と位置づけています。影響を受ける組織向けには、Microsoftサポートを通じて追加の緩和策も提供されています。
セキュリティ担当者とExchange管理者が確認すべき点
従業員は、Outlook on the webでサインインできない、メッセージが送信トレイに残ったままになる、メール配信が大幅に遅くなる、といった症状に気づくかもしれません。サーバーの再起動後に一時的に回復しても、問題が解消したとは限りません。
10月のパッチチューズデーの更新プログラムを管理するセキュリティチームにとって、現実的な課題は、セキュリティ保護を維持したままメールの可用性を回復することです。管理者は回避策を適用して再起動した後、Webメールへのアクセスとメッセージ配信をテストし、通常のワークロード下でメールキュー、アプリケーションログ、DAGの状態を監視してください。
管理者は、 パッチ管理の手順の一環として、実際のメールトラフィックを想定して更新プログラムをテストするべきです。この障害はサーバーの負荷に左右されるため、当初正常に動作していたサーバーでも、問題が解決したことにはなりません。レジストリの回避策は、インストール済みのセキュリティ更新プログラムとは別に管理してください。 パッチ管理と脆弱性管理は、関連はあるものの別個の責務です。設定変更を記録し、さらに調整する前にMicrosoftのガイダンスを確認してください。
Exchange Server 2016と2019は、2025年10月14日にサポートが終了しました。MicrosoftのPeriod 2拡張セキュリティ更新(ESU)プログラムに登録している組織は、2026年10月末まで、公開済みのセキュリティ更新プログラムを引き続き利用できます。管理者は、目前の復旧作業とあわせて、自社が対象かどうかと移行計画も確認する必要があります。Microsoftは当面、Windowsのセキュリティ更新プログラムを維持したうえで、文書化された緩和策を適用するよう助言しています。可用性の問題を解消する代わりに、セキュリティ上の脅威にさらされるリスクを負うべきではないという考えです。
