> ## Content Index > Fetch the complete content index at: https://joho-todai.com/llms.txt > Use this file to discover other available public pages before exploring further. # Exchange OWAに緊急の脆弱性、恒久パッチはまだない - URL: https://joho-todai.com/exchange-owa-critical-vulnerability-no-permanent-patch/ - Published: 2026-05-15T12:14:57.000Z - Updated: 2026-08-20T14:55:11.000Z - Author: 岬 徹 - Tags: Microsoft, セキュリティ, Exchange Online, 脆弱性, ゼロデイ, ESU オンプレミスのExchange Serverに細工メールでJavaScriptを実行される脆弱性が出た。緩和策は配布されたが副作用が重く、恒久パッチはESU加入状況で扱いが分かれる。 --- ## 細工メールでJavaScriptが走る、OWAの穴 Microsoftが5月14日(現地時間)にCVE-2026-42897を公開した。Exchange ServerのOutlook Web Access(OWA)に存在するクロスサイトスクリプティング起因の不具合で、CVSSスコアは8.1(High)、Microsoftの公式深刻度は「Critical」。攻略コードの成熟度はFunctional(動作可能)、Exploit Statusは「Exploited:Yes」(悪用済み)と分類されている。 攻撃手順は単純だ。攻撃者が特別に細工したメールを送り、受信者がOWAでそのメールを開き、いくつかの条件が揃ったときに、受信者のブラウザコンテキストで任意のJavaScriptが実行される。Microsoftは「条件」の具体的な内容を明らかにしていない。 > Webページ生成時の入力の不適切な無害化(クロスサイトスクリプティング)により、認証されていない攻撃者がネットワーク経由でなりすましを行える。 影響を受けるのは、Exchange Server 2016、Exchange Server 2019、そしてExchange Server Subscription Edition(SE)。**すべての更新レベルが対象**となる。Exchange Onlineには影響しない。 ## 緩和策はある、ただし副作用がある 恒久パッチは現時点で存在しない。Microsoftが用意したのは2つの緩和策だ。 推奨される一つ目は、Exchange Emergency Mitigation(EM) Serviceを使う方法。EM Serviceは2021年9月にリリースされて以降、既定で有効化されているサービスで、Microsoftがクラウド経由で緩和ルールを配信する仕組みになっている。今回のCVEに対応する緩和策の識別子は**M2.1.x**で、対象環境には自動で適用される。 二つ目は、何らかの事情でEM Serviceを無効にしている管理者向けで、Exchange On-premises Mitigation Tool(EOMT)を使ってスクリプトで緩和策を適用する方式となる。 > Get-ExchangeServer | Where-Object { $\_.ServerRole -ne "Edge" } | .\\EOMT.ps1 -CVE "CVE-2026-42897" 問題は、緩和策を適用したあとに別の機能が壊れることだ。MicrosoftのExchange Teamが公式ブログで認めている既知の問題は4つある。 OWAの印刷カレンダー機能が動かなくなる。回避策は「データをコピーするかカレンダーをスクリーンショットで保存するか、Outlookデスクトップクライアントを使うこと」。インライン画像が受信側のOWAリーディングペインで正しく表示されなくなる。回避策は「画像を添付ファイルとして送るか、Outlookデスクトップクライアントを使うこと」。 URL末尾に`/?layout=light`を付けたときに起動する**OWA Lightモード**が正常に動作しなくなる。OWA Lightについては、MicrosoftのExchange Team担当者が公式ブログのコメント欄で「OWA Lightは数年前から非推奨となっており、恒久的な修正と緩和策の解除後に再び動作する見込みだ」と書いている。今は`/?layout=light`を使わず通常のOWAを利用するように、というのが事実上の指示となる。 そして4つ目が、緩和策の詳細表示に「Mitigation invalid for this exchange version」(このExchangeバージョンには無効な緩和策)と出る表示の不整合だ。ステータスが「Applied」と表示されていれば実際には適用されているとMicrosoftは説明している。 > これは表示上の問題で、ステータスが「Applied」と表示されていれば緩和策は適用されている。表示の修正方法を調査中だ。 表示上の問題に過ぎないとはいえ、管理者が「適用されていない」と誤認する余地があり、これも今後修正対象となる。 緩和策の副作用と回避策 | 影響する機能 | 適用後の現象 | 回避策 | | ------------ | --------------------------------------------------- | --------------------------------- | | OWAの印刷カレンダー | 印刷機能が動作しなくなる | Outlookデスクトップを使用(またはスクリーンショット) | | インライン画像 | 受信側OWAで正しく表示されない | 添付ファイルとして送信(またはOutlookデスクトップ) | | OWA Lightモード | /?layout=light付きURLが動作しない | 通常のOWAを利用(OWA Lightは非推奨) | | 緩和策のステータス表示 | 詳細欄に誤メッセージMitigationinvalid forthis exchangeversion | ステータスがAppliedなら適用済み(Microsoft調査中) | ※ 緩和策ID M2.1.x がExchange 2016/2019/SEに適用された際の既知の問題。Microsoftが恒久パッチを準備中。 ## ESU加入の有無で恒久パッチの扱いが変わる Microsoftは恒久的なセキュリティ更新を将来リリースすると予告した。配布対象となるバージョンは、Exchange SE RTM、Exchange 2016 CU23、Exchange Server 2019 CU14およびCU15。古いCUを使っている環境は事前に最新CUへ更新しておく必要がある。 ここで線が引かれる。 Exchange SEの更新プログラムは**公開されたセキュリティ更新**として誰でも入手できる。一方、Exchange 2016と2019の更新プログラムは、Exchange Server拡張セキュリティ更新(ESU)プログラムのPeriod 2に**加入している顧客のみ**に提供される。Period 1の顧客は2026年4月で対象外となっており、今回の更新は届かない。 つまり、2016や2019を運用しつつ有料の拡張サポートに入っていない組織は、緩和策の副作用を抱えたまま恒久パッチを受け取れない位置に置かれる。Exchange SEへの移行か、Period 2 ESUへの加入か、リスク受容か。判断を保留する余地は狭まりつつある。 恒久パッチの配布対象と入手条件 | 対象バージョン | 配布形態 | 必要なCU | 入手条件 | | ------------------ | ---- | ----------- | ---------------- | | Exchange SERTM | 公開SU | RTM以降 | 誰でも入手可 | | ExchangeServer2019 | 限定配布 | CU14またはCU15 | Period 2ESU加入者のみ | | ExchangeServer2016 | 限定配布 | CU23 | Period 2ESU加入者のみ | | Period 1ESU加入者 | 配布なし | — | 2026年4月プログラム終了 | ※ Exchange Online は本脆弱性の影響を受けない。古いCUを使用している環境は、事前に最新CUへの更新が必要。 ## 警戒度と確認手順 CVSSスコアは8.1で「High」、一方でMicrosoftの公式深刻度ラベルは「Critical」。攻撃ベクトルがメールという日常運用そのものであり、被害が出るのが特権ユーザーの可能性もあるOWAブラウザコンテキストである以上、海外メディアの一部が「ゼロデイ」と呼ぶ警戒感も的外れではない。 「Exploited:Yes」という分類も気になる。Microsoftはこれまでも実際の悪用が確認された脆弱性にこの評価をつけてきた経緯がある。誰が、誰を狙って、どの規模で攻撃しているのか、**公開情報**は乏しい。 管理者がいま見るべきは2つだ。EM Serviceが本当に動いているか、緩和策のステータスが本当に「Applied」になっているか。Exchange Health Checkerスクリプト(`https://aka.ms/ExchangeHealthChecker`)のHTMLレポートにEEMSチェックの項目があり、そこで状態を確認できる。EM Serviceは2023年3月より前のExchangeバージョンには新しい緩和策を配布できない仕様なので、古いCUのまま放置されているサーバが組織内にあれば、そこが穴になる。 オンプレミスのExchangeは、もはや「サポート切れの古いサーバを放置している組織」だけの問題ではない。SE移行が進んだ環境でも、ESU加入の有無で次のパッチが届くかどうかが分かれる構造に変わった。今回のCVEは、その境界線を可視化した。 --- **参照元** - [Microsoft Exchange Team Blog - Addressing Exchange Server May 2026 vulnerability CVE-2026-42897](https://techcommunity.microsoft.com/blog/exchange/addressing-exchange-server-may-2026-vulnerability-cve-2026-42897/4518498) ### 関連記事 - [Microsoft Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下](https://joho-todai.com/defender-zero-day-rogueplanet-patch-tuesday/) - [Microsoftが折れた、ゼロデイ騒動の裏側](https://joho-todai.com/microsoft-yields-zero-day-controversy-behind-scenes/) - [Windowsゼロデイ6件を巡りMSRC対応に批判 開示プロセスを検証](https://joho-todai.com/windows-zero-day-vulnerabilities-msrc-breakdown/) - [BitLockerバイパス脆弱性をめぐりMicrosoftと研究者が対立](https://joho-todai.com/yellowkey-bitlocker-cve-2026-45585-microsoft-researcher-conflict/) - [Defenderのゼロデイ2件、すでに攻撃で使われていた](https://joho-todai.com/defender-zero-day-exploits-already-used-attacks/) - [BitLocker暗号化を破る「YellowKey」、Microsoftが緩和策を公開](https://joho-todai.com/yellowkey-breaks-bitlocker-encryption-microsoft-mitigation/) - [Windowsの6年前の修正が消えていた、新ゼロデイ「MiniPlasma」公開](https://joho-todai.com/windows-miniplasma-zero-day-vulnerability/) - [BitLockerをUSBで解錠、YellowKey公開](https://joho-todai.com/bitlocker-usb-unlock-yellowkey-released/) - [Windows4月パッチ165件、KB5083769で配信。過去最大の一括修正](https://joho-todai.com/microsoft-april-patch-165-historic-scale/) - [Windowsゼロデイ「BlueHammer」公開 研究者とMSRCの調整経緯を整理](https://joho-todai.com/windows-zero-day-bluehammer-leak-msrc-anger/)