Microsoft

Exchange OWAに緊急の脆弱性、恒久パッチはまだない

岬 徹

岬 徹

Exchange OWAに緊急の脆弱性、恒久パッチはまだない

オンプレミスのExchange Serverに細工メールでJavaScriptを実行される脆弱性が出た。緩和策は配布されたが副作用が重く、恒久パッチはESU加入状況で扱いが分かれる。

細工メールでJavaScriptが走る、OWAの穴

Microsoftが5月14日(現地時間)にCVE-2026-42897を公開した。Exchange ServerのOutlook Web Access(OWA)に存在するクロスサイトスクリプティング起因の不具合で、CVSSスコアは8.1(High)、Microsoftの公式深刻度は「Critical」。攻略コードの成熟度はFunctional(動作可能)、Exploit Statusは「Exploited:Yes」(悪用済み)と分類されている。

攻撃手順は単純だ。攻撃者が特別に細工したメールを送り、受信者がOWAでそのメールを開き、いくつかの条件が揃ったときに、受信者のブラウザコンテキストで任意のJavaScriptが実行される。Microsoftは「条件」の具体的な内容を明らかにしていない。

Webページ生成時の入力の不適切な無害化(クロスサイトスクリプティング)により、認証されていない攻撃者がネットワーク経由でなりすましを行える。

影響を受けるのは、Exchange Server 2016、Exchange Server 2019、そしてExchange Server Subscription Edition(SE)。すべての更新レベルが対象となる。Exchange Onlineには影響しない。

緩和策はある、ただし副作用がある

恒久パッチは現時点で存在しない。Microsoftが用意したのは2つの緩和策だ。

推奨される一つ目は、Exchange Emergency Mitigation(EM) Serviceを使う方法。EM Serviceは2021年9月にリリースされて以降、既定で有効化されているサービスで、Microsoftがクラウド経由で緩和ルールを配信する仕組みになっている。今回のCVEに対応する緩和策の識別子はM2.1.xで、対象環境には自動で適用される。

二つ目は、何らかの事情でEM Serviceを無効にしている管理者向けで、Exchange On-premises Mitigation Tool(EOMT)を使ってスクリプトで緩和策を適用する方式となる。

Get-ExchangeServer | Where-Object { $_.ServerRole -ne "Edge" } | .\EOMT.ps1 -CVE "CVE-2026-42897"

問題は、緩和策を適用したあとに別の機能が壊れることだ。MicrosoftのExchange Teamが公式ブログで認めている既知の問題は4つある。

OWAの印刷カレンダー機能が動かなくなる。回避策は「データをコピーするかカレンダーをスクリーンショットで保存するか、Outlookデスクトップクライアントを使うこと」。インライン画像が受信側のOWAリーディングペインで正しく表示されなくなる。回避策は「画像を添付ファイルとして送るか、Outlookデスクトップクライアントを使うこと」。

URL末尾に/?layout=lightを付けたときに起動するOWA Lightモードが正常に動作しなくなる。OWA Lightについては、MicrosoftのExchange Team担当者が公式ブログのコメント欄で「OWA Lightは数年前から非推奨となっており、恒久的な修正と緩和策の解除後に再び動作する見込みだ」と書いている。今は/?layout=lightを使わず通常のOWAを利用するように、というのが事実上の指示となる。

そして4つ目が、緩和策の詳細表示に「Mitigation invalid for this exchange version」(このExchangeバージョンには無効な緩和策)と出る表示の不整合だ。ステータスが「Applied」と表示されていれば実際には適用されているとMicrosoftは説明している。

これは表示上の問題で、ステータスが「Applied」と表示されていれば緩和策は適用されている。表示の修正方法を調査中だ。

表示上の問題に過ぎないとはいえ、管理者が「適用されていない」と誤認する余地があり、これも今後修正対象となる。

緩和策の副作用と回避策
影響する機能 適用後の現象 回避策
OWAの
印刷カレンダー		 印刷機能が
動作しなくなる		 Outlook
デスクトップを使用
(または
スクリーンショット)
インライン
画像		 受信側OWAで
正しく
表示されない		 添付ファイルとして
送信
(または
Outlook
デスクトップ)
OWA Light
モード		 /?layout=light
付きURLが
動作しない		 通常のOWAを
利用
(OWA Lightは
非推奨)
緩和策の
ステータス表示		 詳細欄に
誤メッセージ
Mitigation
invalid for
this exchange
version		 ステータスが
Appliedなら
適用済み
(Microsoft
調査中)
※ 緩和策ID M2.1.x がExchange 2016/2019/SEに適用された際の既知の問題。Microsoftが恒久パッチを準備中。

ESU加入の有無で恒久パッチの扱いが変わる

Microsoftは恒久的なセキュリティ更新を将来リリースすると予告した。配布対象となるバージョンは、Exchange SE RTM、Exchange 2016 CU23、Exchange Server 2019 CU14およびCU15。古いCUを使っている環境は事前に最新CUへ更新しておく必要がある。

ここで線が引かれる。

Exchange SEの更新プログラムは公開されたセキュリティ更新として誰でも入手できる。一方、Exchange 2016と2019の更新プログラムは、Exchange Server拡張セキュリティ更新(ESU)プログラムのPeriod 2に加入している顧客のみに提供される。Period 1の顧客は2026年4月で対象外となっており、今回の更新は届かない。

つまり、2016や2019を運用しつつ有料の拡張サポートに入っていない組織は、緩和策の副作用を抱えたまま恒久パッチを受け取れない位置に置かれる。Exchange SEへの移行か、Period 2 ESUへの加入か、リスク受容か。判断を保留する余地は狭まりつつある。

恒久パッチの配布対象と入手条件
対象バージョン 配布形態 必要なCU 入手条件
Exchange SE
RTM		 公開SU RTM以降 誰でも
入手可
Exchange
Server
2019		 限定配布 CU14
または
CU15		 Period 2
ESU
加入者のみ
Exchange
Server
2016		 限定配布 CU23 Period 2
ESU
加入者のみ
Period 1
ESU加入者		 配布なし — 2026年4月
プログラム
終了
※ Exchange Online は本脆弱性の影響を受けない。古いCUを使用している環境は、事前に最新CUへの更新が必要。

警戒度と確認手順

CVSSスコアは8.1で「High」、一方でMicrosoftの公式深刻度ラベルは「Critical」。攻撃ベクトルがメールという日常運用そのものであり、被害が出るのが特権ユーザーの可能性もあるOWAブラウザコンテキストである以上、海外メディアの一部が「ゼロデイ」と呼ぶ警戒感も的外れではない。

「Exploited:Yes」という分類も気になる。Microsoftはこれまでも実際の悪用が確認された脆弱性にこの評価をつけてきた経緯がある。誰が、誰を狙って、どの規模で攻撃しているのか、公開情報は乏しい。

管理者がいま見るべきは2つだ。EM Serviceが本当に動いているか、緩和策のステータスが本当に「Applied」になっているか。Exchange Health Checkerスクリプト(https://aka.ms/ExchangeHealthChecker)のHTMLレポートにEEMSチェックの項目があり、そこで状態を確認できる。EM Serviceは2023年3月より前のExchangeバージョンには新しい緩和策を配布できない仕様なので、古いCUのまま放置されているサーバが組織内にあれば、そこが穴になる。

オンプレミスのExchangeは、もはや「サポート切れの古いサーバを放置している組織」だけの問題ではない。SE移行が進んだ環境でも、ESU加入の有無で次のパッチが届くかどうかが分かれる構造に変わった。今回のCVEは、その境界線を可視化した。

参照元

関連記事

この記事を共有する
Microsoft セキュリティ Exchange Online 脆弱性 ゼロデイ ESU
HOME

Read more