Exchange Serverの脆弱性CVE-2026-42897の悪用
Microsoftの2026年5月14日の公表では、オンプレミス版Exchange ServerのOutlook Web Access（OWA）にクロスサイトスクリプティングの脆弱性CVE-2026-42897があり、悪用が確認されている［1、2］。MicrosoftはSecurity Update Guideの7月14日の改訂で、7月のセキュリティ更新を入れた後は緩和策を外してよいとした［1］。
脆弱性の内容
MicrosoftのSecurity Update Guideによると、Exchange ServerのWebページ生成時の入力の不適切な無害化（クロスサイトスクリプティング）により、認証されていない攻撃者がネットワーク越しになりすましを行える［1］。攻撃者は細工したメールを利用者に送って悪用できる［1］。利用者がそのメールをOWAで開き、特定の操作の条件が満たされると、ブラウザのコンテキストで任意のJavaScriptが実行されうる［1］。
ガイドのFAQで、Microsoftは関連する脆弱性としてCVE-2026-55008を挙げた［1］。この脆弱性も、細工した悪意のあるメールをOWAで開いて特定の条件が満たされたときに、任意のJavaScriptがブラウザのコンテキストで実行されるものだ［5］。
| 項目 | CVE-2026-42897 | CVE-2026-55008 | 資料 |
|---|---|---|---|
| 名称 | Microsoft Exchange Server Spoofing Vulnerability | Microsoft Exchange Server Spoofing Vulnerability | ［1、5］ |
| CWE | CWE-79 | CWE-79 | ［1、5］ |
| CVSS 3.1の基本値（Microsoft） | 8.1〔注1〕 | 9.6 | ［1、5］ |
| CVSS 3.1の現状値とベクトル（Microsoft） | 7.5、CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N/E:F/RL:O/RC:C | - | ［1］ |
| 深刻度と影響 | Critical、Spoofing | - | ［1］ |
| 悪用 | Yes（Exploitation Detected） | No | ［1、5］ |
| 一般への公開 | No | No | ［1、5］ |
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | Proofpointが観測したキャンペーンで使われた最も早いインフラが作られた | ［17］ |
| 2026年 | Microsoft | CVE-2026-42897を予約した | ［9］ |
| 2026年 | Microsoft | Security Update GuideとExchange Team Blogで公表し、緩和策を公開した | ［1、2］ |
| 2026年 | CISA | 既知の悪用された脆弱性（KEV）カタログに追加した | ［8、9］ |
| 2026年 | カナダのサイバーセキュリティセンター | AV26-473を公表し、Update 1でKEVへの追加を伝えた | ［18］ |
| 2026年 | Microsoft | ガイドのFAQを改訂し（改訂1.1）、ブログにInternet Explorerでは緩和策が効かない旨を加えた | ［1、2］ |
| 2026年 | JPCERT/CC | Weekly Reportで、開発者が悪用を確認していると伝えた | ［10］ |
| 2026年 | Microsoft | 修正を含むExchange Server SE・2019・2016のセキュリティ更新を公開した | ［1、3、6］ |
| 2026年 | JPCERT/CC | 6月の月例の注意喚起で、Microsoftが悪用を公表していると伝え、対策の実施を求めた | ［11］ |
| 2026年 | Microsoft | 7月のセキュリティ更新を公開し、CVE-2026-55008を公表した | ［4、5］ |
| 2026年 | TA488 | CVE-2026-42897を悪用するキャンペーンを始めた | ［17］ |
| 2026年 | Proofpoint | TA488のキャンペーンを報告した | ［17］ |
対象の製品と版
Exchange Team Blogの記事で、Microsoftは影響を受ける版をオンプレミス版のExchange Server 2016・2019・Subscription Edition（SE）とし、いずれも更新のレベルを問わないと説明した［2］。Exchange Onlineはこの脆弱性の影響を受けない［2］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Exchange Server Subscription Edition | RTM | 15.02.2562.043（KB5094139） | ［1］ |
| Exchange Server 2019 | Cumulative Update 15 | 15.02.1748.046（KB5094140） | ［1］ |
| Exchange Server 2019 | Cumulative Update 14 | 15.02.1544.041（KB5094142） | ［1］ |
| Exchange Server 2016 | Cumulative Update 23 | 15.01.2507.069（KB5094144） | ［1］ |
Microsoftのサポートの説明では、SE RTM向けのKB5094139（SE RTM SU7）がCVE-2026-42897を含む8件のCVEを修正する［6］。この更新は、2月10日に出たKB5074992を置き換えるものだ［6］。
CyCognitoは、Exchange Server 2010のようなサポート外の古いビルドについて、Microsoftの対応の範囲外だが実際には脆弱である可能性が高く、自動の緩和策も受けないと評価した［12］。
悪用の状況
日本マイクロソフトは6月の月例の案内で、更新の公開前に悪用か詳細の公開を確認した脆弱性の一つにCVE-2026-42897を挙げた［7］。CyCognitoの報告では、同社が観測したExchangeの資産のうち、業種別にIndustrialsが22.1%、Consumer Discretionaryが12.8%を占めた［12］。
公的機関の登録と注意喚起
NVDに載ったCISAの項目では、KEVでの名称が「Microsoft Exchange Server Cross-Site Scripting Vulnerability」で、対応の期限は5月29日だった［8］。求める対応には、ベンダーの指示に従う緩和策の適用、クラウドサービスでのBOD 22-01の指針、緩和策が無いときの製品の使用の中止が並ぶ［8］。CVEレコードに付いたCISAのSSVCの評価は、悪用がactive、自動化がno、技術的影響がtotalである［9］。
カナダのサイバーセキュリティセンターはAV26-473で、MicrosoftがCVE-2026-42897の限定的な悪用を把握していると書いた［18］。Update 1では、利用者と管理者にリンク先を確かめ、更新が出たら適用するよう促した［18］。
TA488とOWAReaper
Proofpointの報告によると、TA488（Void Blizzard、Laundry Bear）がCVE-2026-42897の悪用を始めたのは、ProofpointがNSAと共同でTA488についての文書を出した日の前日だった［17］。標的は米国と欧州の政府機関と、通信・金融・ホスピタリティ・航空宇宙の分野だった［17］。
TA488は侵害した一連のアカウントからメールを送った［17］。送信量と標的の広さはTA488としては異例で、大量配信のスパムに紛れて精査を避けるため、意図して広げた可能性があるとProofpointは評価した［17］。
メールをOutlook Webmailで開くと、ExchangeサーバーがメッセージのHTMLを誤って扱って任意のJavaScriptを実行し、本文のペイロードが動く［17］。Proofpointはこのペイロードのimplantを「OWAReaper」と呼ぶ［17］。開くだけで侵害に至るこの種の手口を、Proofpointは「half-click」の悪用と表現している［17］。
OWAReaperはOWAのブラウザのコンテキストで動き、端末に痕跡を残さず、C&Cの経路2つと送出の方式2つを使う［17］。ブラウザの再起動、認証情報の変更、端末の再イメージ化を経ても残りうる［17］。
OWAReaperはReadWriteMailboxの権限を持つOutlookアドインでOAuthトークンを盗み、全メールフォルダーで「Default」ユーザーにOwnerの権限を与える［17］。この権限で、同じ組織の認証済みの利用者なら誰でもそのメールボックスに完全にアクセスできる［17］。このアクセスはサーバー側にあり、Exchangeサーバーから意図して外す必要がある［17］。
Proofpointは、TA488がこの脆弱性をゼロデイとして使った可能性がある（feasible）と評価した〔注3〕［17］。帰属の根拠には、webmailの閲覧者を狙うhalf-clickのXSSの手口、ZimReaperとの振る舞いの重なり、符号化したDNSによる送出、メールと認証情報の窃取への集中を挙げた［17］。影響を受けた組織への勧めは4つあった［17］。
修正と回避策
Microsoftは、恒久的なセキュリティ更新を出すまでの緩和の方法を、Exchange Team Blogで2つ示した［2］。
- 推奨の方法は、Exchange Emergency Mitigation（EM）Serviceの利用だった［2］。EM Serviceを有効にしている顧客向けに、Exchange Server 2016・2019・SEの自動の緩和策を公開済みで、緩和策は自動で有効になる［2］。緩和策のIDはM2.1.xで、適用状況はExchange Health Checkerで確かめられる［2］。
- 2つ目は、EM Serviceを使えない顧客（切り離された環境・エアギャップの環境など）向けのスクリプトによる適用だった［2］。Exchange On-premises Mitigation Tool（EOMT）の最新版を取得し、昇格したExchange Management Shellで1台ずつか全台に実行する［2］。
ブログの説明では、EM Serviceは2021年9月に公開され、既定で有効である［2］。Microsoftは、EM Serviceを使うのがこの脆弱性をすぐに緩和する最善の方法だとして、無効にしている場合はすぐに有効にするよう勧めた［2］。2023年3月より古いバージョンのExchange Serverでは、EM Serviceが新しい緩和策を確かめられない［2］。SecurityWeekは、Microsoftが同誌への声明で、EEMSを有効にしてガイダンスに従うよう勧めたと報じた［19］。
Microsoft Learnの説明によると、EM Serviceは、2016・2019に2021年9月のCU以降を入れるとMailboxの役割のサーバーに自動で入り、Edge Transportには入らない［15］。使うかどうかは任意である［15］。クラウドのOffice Config Service（OCS）を1時間ごとに確かめて緩和策を取得する［15］。緩和策はセキュリティ更新（SU）を当てるまでの一時的な措置で、SUの代わりにはならない［15］。
ガイドのFAQとブログでMicrosoftは、Internet ExplorerはContent Security Policy（CSP）に対応しないため、OWAにInternet ExplorerかInternet ExplorerモードのMicrosoft Edgeで接続すると緩和策が効かないと説明した［1、2］。OWAにInternet Explorer（モード）で接続しないよう求めている［1］。
| 問題 | 回避策・補足 | 資料 |
|---|---|---|
| OWAのカレンダーの印刷が動かないことがある | データのコピーかスクリーンショット、またはOutlookデスクトップ版 | ［2］ |
| 受信者のOWAの閲覧ウィンドウでインライン画像が正しく表示されないことがある | 画像を添付ファイルで送るか、Outlookデスクトップ版 | ［2］ |
| OWA light（URLの末尾が/?layout=light）が正しく動かない | 数年前に非推奨とした機能で、今後数か月で恒久的に無効にする | ［2］ |
| OWACalendar.Proxyのhealthsetがunhealthyを示し、監視製品の警告になることがある | 修正が出て緩和策を外すまで警告を無視するよう勧めた | ［2］ |
| 公開した予定表がエラー500で動かないことがある | - | ［2］ |
| 緩和策の詳細に「Mitigation invalid for this exchange version.」と出る | 表示だけの問題で、状態が「Applied」なら適用されている。対処を調査中 | ［2］ |
6月と7月の更新
6月の更新の記事で、Microsoftは更新が公表済みのCVE-2026-42897も扱うとした〔注2〕［3］。クロスサイトスクリプティングへの防御の強化を続けているとして、更新の後も緩和策を追加の防御層として残すよう勧めた［3］。6月と7月の更新のどちらを入れても、適用済みの緩和策は自動では外れない［3、4］。
外す場合の手順は、6月の記事では、EM Serviceの分がM2.1.0の再適用を止めてからM2のIISのルールを削除すること、EOMTの分がロールバックだった［3］。緩和策を残す推奨のため、6月の更新を入れたサーバーに適用しないよう緩和策を改めることは、まだしていない［3］。サービス側の変更により、EMとExchange Flightingのサービスは、6月の更新（以降）を入れないと7月以降に出る構成ファイルを使えない［3］。適用済みの緩和策はそのまま動き続ける［3］。
Microsoftは7月の更新の記事で、更新を入れた後に緩和策を外すよう求め、手順にEM Serviceの分のM2.1.0のIISのルールの削除と、EOMTの分のロールバックを挙げた［4］。ガイドのFAQでも、CVE-2026-42897とCVE-2026-55008から守るため、7月の更新をできるだけ早く入れるよう勧めている［1］。CVE-2026-55008のガイドでは、CVE-2026-42897の緩和策は性質が似ておりCVE-2026-55008も緩和すると説明し、EM Serviceを有効のままにするよう勧めた［5］。
ESUの加入と更新の配布
Exchange SEの更新は一般公開のセキュリティ更新で出し、Exchange 2016・2019の更新はPeriod 2のExchange Server ESUプログラムの加入者だけに出すと、Microsoftはブログで説明した［2］。Period 1だけの加入者は受け取れず、Period 1は2026年4月に終わった［2］。6月の更新の記事では、Period 2に加入していなければExchange SEへ移行するよう求めている［3］。
Microsoftの4月15日の発表では、Period 2の期間は5月初めから10月末までの6か月である［16］。対象はExchange Server 2016 CU23と2019 CU14/CU15だった［16］。10月13日の追記で、ESUの最後の更新を出し、以後Exchange 2016・2019の更新は出さないとした［16］。
未公表の事項
- Microsoftが5月14日に確認した悪用の主体と、TA488のキャンペーンとの関係
- 悪用された組織の数・地域・業種と、窃取された情報
- 悪用に要る特定の操作の条件の中身
- 発見者がMicrosoftに報告した時期
- 7月のセキュリティ更新がCVE-2026-42897について変えた点
注
- 〔注1〕NVDは自らの評価として、基本値6.1（MEDIUM、CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N）をMicrosoftの値と並べて載せている［8］。
- 〔注2〕Exchange Team Blogの初版は、更新の対象をExchange SE RTM、2016 CU23、2019 CU14・CU15とし、古いCUの利用者に更新を求めていた［13、14］。
- 〔注3〕Proofpointは、Microsoftの修正を「out-of-band patch」と書いた［17］。日本マイクロソフトの案内では、修正は6月の月例のセキュリティ更新プログラムに含まれる［7］。
出典
当事者
- ［1］Microsoft Corporation『Microsoft Exchange Server Spoofing Vulnerability』（2026年5月14日公開、2026年7月14日更新）
- ［2］Microsoft Corporation『Addressing Exchange Server May 2026 vulnerability CVE-2026-42897』（2026年5月14日公開、2026年7月14日更新）
- ［3］Microsoft Corporation『Released: June 2026 Exchange Server Security Updates』（2026年6月9日公開、2026年7月14日更新）
- ［4］Microsoft Corporation『Released: July 2026 Exchange Server Security Updates』（2026年7月14日公開、2026年7月24日更新）
- ［5］Microsoft Corporation『Microsoft Exchange Server Spoofing Vulnerability』（2026年7月14日公開）
- ［6］Microsoft Corporation『Description of the security update for Microsoft Exchange Server Subscription Edition RTM: June 09, 2026 (KB5094139)』（2026年6月9日公開）
- ［7］日本マイクロソフト株式会社『2026 年 6 月のセキュリティ更新プログラム (月例)』（公開日不明、2026年11月4日閲覧）
公的機関
- ［8］National Institute of Standards and Technology『CVE-2026-42897 Detail』（2026年5月14日公開、2026年10月26日更新）
- ［9］The MITRE Corporation『CVE-2026-42897 CVE Record』（2026年5月14日公開、2026年8月10日更新）
- ［10］一般社団法人JPCERTコーディネーションセンター『Weekly Report 2026-05-20号（JPCERT-WR-2026-0520）【16】複数のマイクロソフト製品に脆弱性』（2026年5月20日公開）
- ［11］一般社団法人JPCERTコーディネーションセンター『2026年6月マイクロソフトセキュリティ更新プログラムに関する注意喚起（JPCERT-AT-2026-0017）』（2026年6月10日公開）
- ［18］Canadian Centre for Cyber Security『Microsoft security advisory (AV26-473) – Update 1』（2026年5月15日公開）
調査・観測
- ［12］CyCognito, Inc.『Emerging Threat: (CVE-2026-42897) Microsoft Exchange OWA Cross-Site Scripting via Crafted Email』（2026年5月20日公開、2026年5月25日更新）
- ［17］Proofpoint, Inc.『Cleaning Out Inboxes: TA488 Comes for Outlook with Another Half-Click Exploit』（2026年7月29日公開）
報道機関
- ［13］HNS Media『Unpatched Microsoft Exchange Server vulnerability exploited (CVE-2026-42897)』（2026年5月15日公開、2026年6月11日更新）
- ［14］アイティメディア株式会社『Microsoft、Exchange Serverの重要脆弱性を公表 CISAが悪用を確認』（2026年5月19日公開）
- ［19］Wired Business Media『Microsoft Warns of Exchange Server Zero-Day Exploited in the Wild』（2026年5月15日公開）
背景資料
- ［15］Microsoft Corporation『Exchange Emergency Mitigation Service (Exchange EM Service)』（2026年7月14日公開、2026年8月13日更新）
- ［16］Microsoft Corporation『Announcing Period 2 Exchange 2016/2019 Extended Security Update (ESU) program』（2026年4月15日公開、2026年10月13日更新）
更新記録
- 2026年5月21日：公開した。
- 2026年5月25日：CyCognitoの報告の5月25日の更新版（出典12）を、「対象の製品と版」と「悪用の状況」の根拠に加えた。
- 2026年6月9日：Microsoftの6月のセキュリティ更新の記事（出典3）とKB5094139の説明（出典6）、ガイドの改訂2（出典1）とExchange Team Blogの6月9日の更新（出典2）を加え、「時系列」「対象の製品と版」「修正と回避策」を改めた。
- 2026年6月10日：JPCERT/CCの6月の注意喚起（出典11）を「時系列」に加えた。
- 2026年6月11日：Help Net Securityの記事の6月11日の更新版（出典13）を、注2の根拠に加えた。
- 2026年6月15日：Microsoftの6月の記事の6月15日の改訂（出典3）で示された緩和策の再適用の止め方を、「修正と回避策」に加えた。
- 2026年7月8日：Exchange Team Blogの7月8日の改訂（出典2）で示されたOWA lightの恒久的な無効化の予定を、表3に加えた。
- 2026年7月14日：ガイドの改訂2.1（出典1）、7月のセキュリティ更新の記事（出典4）、CVE-2026-55008のガイド（出典5）、Microsoft Learnの説明（出典15）を加え、リードと「脆弱性の内容」「時系列」「修正と回避策」を改めた。
- 2026年7月24日：7月のセキュリティ更新の記事の7月24日の更新版（出典4）を、「修正と回避策」の根拠にした。
- 2026年7月29日：Proofpointの報告（出典17）で示されたTA488のキャンペーンを「時系列」と「悪用の状況」に加え、注3を加えた。
- 2026年8月10日：CVEレコードの8月10日の更新版（出典9）で示されたCISAのSSVCの評価を、「悪用の状況」に加えた。
- 2026年8月13日：Microsoft Learnの説明の8月13日の更新版（出典15）を、「修正と回避策」の根拠にした。
- 2026年10月13日：Microsoftの10月13日の追記（出典16）で示されたESUの最後の更新を、「修正と回避策」に加えた。
- 2026年10月26日：NVDの10月26日の更新版（出典8）で示されたKEVの対応の期限と求める対応、NVD自身の評価を、「悪用の状況」と注1に加えた。