ExchangeゼロデイCVE‑2026‑42897：オンプレミス管理者が知るべきこと

この脆弱性は、Outlook on the web（OWA）コンポーネントに存在するクロスサイトスクリプティング（XSS）問題で、ユーザーのブラウザセッション内で悪意あるコードが実行される可能性があります。

現時点では恒久的なセキュリティ更新プログラムは提供されておらず、Microsoftは一時的な緩和策を公開して対応を呼びかけています。

CVE‑2026‑42897とは何か

この脆弱性は、**Webページ生成時の入力データの不適切なサニタイズ（Improper Neutralization of Input）**によって発生するクロスサイトスクリプティング（XSS）問題です。

Exchange ServerではOWAインターフェース内に存在し、攻撃者が特定のコンテンツを埋め込むことでユーザーのブラウザ上でスクリプトを実行させる可能性があります。

Microsoftはこの問題をスプーフィング（spoofing）脆弱性として分類しており、OWAの画面やセッションの挙動を攻撃者が操作できる恐れがあります。

セキュリティ評価では**CVSSスコア8.1（高）**とされ、ユーザー操作は必要ですがネットワーク経由で悪用できる点がリスクを高めています。

OWAでの攻撃の仕組み

公開されている情報によると、攻撃は主に次の流れで成立します。

1. 攻撃者が細工したメールを標的組織へ送信
2. 被害者がそのメールを**Outlook on the web（OWA）**で開く
3. OWAの入力処理の不備により、攻撃者が埋め込んだ内容がそのまま描画される
4. 結果として被害者のブラウザセッション内でJavaScriptが実行される

このスクリプトはユーザーのログイン済みセッションのコンテキストで動作するため、状況によっては次のような行為が可能になります。

• OWA画面のUI偽装
• ユーザー操作の乗っ取り
• メール送信やデータ操作などの実行

実際の攻撃コードは公開されていませんが、すでに実環境で悪用が確認されていると複数の報告が伝えています。

影響を受けるExchangeバージョン

現在の情報では、次のオンプレミス版Exchange Serverが影響を受けます。

• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019
• Microsoft Exchange Server Subscription Edition（SE）

これらは企業や組織が自社環境に設置・管理するメールサーバー製品です。

なぜExchange Onlineは影響を受けないのか

公開情報では、この問題はオンプレミスExchange ServerのOWAコンポーネントに限定されています。

Microsoft 365のクラウド版メールサービスであるExchange Onlineは、次の点で異なります。

• インフラはMicrosoftが運用
• セキュリティ更新や防御措置が中央管理で適用

そのため、現時点の報告ではMicrosoft管理のクラウド環境は影響対象ではないとされています。

Microsoftが公開した一時的な緩和策

恒久パッチが公開されるまで、Microsoftは**Exchange Emergency Mitigation Service（EEMS）**を通じた自動緩和策を提供しています。

EEMSはExchange Serverに組み込まれた仕組みで、Microsoftが提供する緩和ルールを自動的に適用できます。

今回の脆弱性では、M2.1.x系のMitigation IDが配布されており、EEMSが有効なサーバーでは自動的に適用される仕組みです。

管理者は次の点を確認する必要があります。

• EEMSが有効になっているか
• CVE‑2026‑42897向けのMitigationが適用済みか

自動対策が使えない環境での手動対応

すべての組織がEEMSを利用できるわけではありません。例えば次のような環境です。

• インターネットに接続されていないネットワーク
• エアギャップ環境
• EEMSをポリシーで無効化している環境

こうした場合は、Microsoftが提供するExchange On‑Premises Mitigation Toolなどを使った手動適用手順を実行する必要があります。

古いExchangeサーバーのリスク

EEMSによる緩和策はサポート対象のExchangeビルドを前提としています。

次のようなサーバーでは、対策が適用されない可能性があります。

• 古いCUのまま更新されていない
• サポート期限切れ
• MicrosoftのMitigationエンドポイントに接続できない

このような環境は依然として露出状態の可能性があるため、アップグレードやネットワーク隔離などの追加対策が必要です。

恒久パッチの状況

公開時点では、Microsoftは恒久的なセキュリティ更新プログラムをまだ提供していません。

そのため、管理者はMicrosoft Security Response Center（MSRC）やExchange Teamの公式発表を継続的に確認し、パッチ公開後すぐに適用できるよう準備する必要があります。

Exchange Health Checkerを今すぐ実行すべき理由

緩和策ベースの防御では、実際に適用されているかの確認が非常に重要です。

Microsoftは、次の確認にExchange Health Checkerスクリプトの使用を推奨しています。

このツールを実行すると、以下をレポートできます。

• EEMSが有効かどうか
• M2.1.x緩和策が適用済みか
• Mitigationが取得できない設定問題

複数サーバー環境では、すべてのExchangeノードでこの確認を行うことが重要です。

Exchange管理者が今すぐ行うべき対応

オンプレミスExchangeを運用している組織では、次の対応を優先してください。

• EEMSが有効か確認
• CVE‑2026‑42897向け M2.1.x mitigation の適用確認
• Exchange Health Checkerスクリプトの実行
• 自動適用できない場合は手動緩和策を導入
• 古いExchangeサーバーの洗い出しと更新

この脆弱性はすでに攻撃に利用されているため、OWAを公開している環境では対策確認を最優先の運用タスクとして扱う必要があります。