Microsoft 365で大規模な障害が11月12日に発生し、2026年11月13日にかけても続いています。Microsoftは故障したサーバーインフラの復旧作業を進めています。
Microsoftは、接続障害がどのリージョンのテナントにも影響しうると認めました。当初は米州のExchange Onlineメールボックスへのアクセス障害として調査していましたが、影響範囲はそれを超えて広がっています。
報告されている影響は、Outlook、Teams、SharePoint Online、Copilot、Microsoft Defender XDRに及びます。サービスや機能ごとの具体的な制限は、Microsoftが更新するアドバイザリの内容次第です。管理者はインシデントMO1550821で内訳を確認してください。
Exchange Onlineのメールボックス接続は、別途EX1550543で追跡されています。Microsoftは、すべての顧客が影響を受けているとは確認していません。
初期のテレメトリでは、複数のリージョンで負荷の上昇が確認されました。その後Microsoftは、この負荷がトラフィックの増加によるものではないと説明しています。
We’re investigating reports of users experiencing issues accessing Exchange Online mailboxes through multiple connection methods in the Americas. More details can be found in the Microsoft 365 admin center under EX1550543.
複数のサーバーが突然利用できなくなり、接続処理が残りのノードに集中しました。エンジニアは、影響を受けた環境の負荷を軽減するため、Microsoftの世界規模のインフラ全体にトラフィックを再分散し始めました。
今回の障害は、ルーティングの設定ミスが原因で日本と中国のTeams、Outlook、Copilotに影響したMicrosoft 365の障害に続くものです。ただし、今回は同様の根本原因をMicrosoftは特定していません。そのため、両者は別々の調査として扱うべきです。
Microsoftは、自動ヘルスチェックの失敗を中心的な障害要因として特定しました。このプローブは、サーバーがリクエストを処理するためにローテーションに残るかどうかを判定する仕組みです。調査チームはサーバーのヘルス情報を処理するコンポーネントに注目し、設定変更を試した上で、影響を受けたホストを再起動してキャパシティの回復を図りました。
The servers we returned to service can become unresponsive again once they receive traffic; we’re analyzing diagnostic data to determine what’s triggering the behavior. In parallel, we’re temporarily limiting which types of traffic can reach the affected infrastructure in some…
代替のヘルスチェック方式によって一部のサーバーはサービスに復帰しました。エンジニアはこの方式の適用範囲を広げるとともに、応答しなくなったマシンを検出して再起動する自動復旧システムの準備を進めています。
しかし、これらの対策では期待した効果が得られませんでした。その後Microsoftは、影響を受けたサーバー上のコアプロセスが過負荷になり、さらなるキャパシティの喪失を招いていたことを突き止めました。
復旧したサーバーは当初こそ安定していたものの、トラフィックが到達すると再び応答しなくなりました。つまり、ノードをオンラインに戻しても、本番環境の負荷に耐えられるとは限りませんでした。
エンジニアはデプロイを一時停止し、トラフィックを別のルートに切り替えました。あわせて、直近の複数の構成更新を元に戻せば復旧を早められるかどうかも評価しています。
このロールバックはあくまで復旧の選択肢であり、根本原因の証拠ではありません。CSNは、影響の開始時期と一致する最近の変更は見つかっていないと伝えています。
Defender XDRで報告されている障害は、障害中のアラートキュー、高度なハンティング、インシデントのトリアージがどうなっていたのかという疑問を投げかけています。ポータルが利用できないからといって、センサーのテレメトリや自動封じ込めが止まったとは限りません。
The servers we returned to service can become unresponsive again once they receive traffic; we’re analyzing diagnostic data to determine what’s triggering the behavior. In parallel, we’re temporarily limiting which types of traffic can reach the affected infrastructure in some…
Defenderのデバイス隔離のための自動攻撃妨害（Automatic Attack Disruption）はクラウドで相関分析を行う機能です。そのため、各チームは防御措置が想定どおり実行されたかどうかを確認する必要があります。
あわせて、コンソールの機能が低下していた間に、パブリックなC2通信がクエリをすり抜けてしまうDefender XDRの検知ギャップがカバレッジに影響していないかも確認すべきです。
管理者はMicrosoft 365管理センターで、EX1550543とMO1550821を確認してください。管理センターにアクセスできない場合は、Microsoftの公開サービスステータスページを利用できます。
Microsoftが公表している更新情報は、インフラの障害と復旧作業について説明しています。この障害の背後にサイバー攻撃があったと確認できる証拠は示されていません。
更新1：Microsoftは、直近の修正が期待どおりに機能していないことを認めました。エンジニアは、キャパシティを増強し、続いているトラフィックの偏りを是正するための別の方法を検討しています。管理者はEX1550543とMO1550821で進捗を確認できます。
注：本件は現在も状況が進展している案件です。Microsoftが障害とサービス復旧に関する新たな情報を公表次第、続報をお伝えします。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/microsoft-365-outage/
