脆弱性 / VULNERABILITIES / EXCHANGE
Microsoft Exchange Serverに複数の深刻な脆弱性 — CVE-2026-62911はCVSS 8.0で悪用コードが公開、NCSCが緊急更新を呼びかけ
オランダ国家サイバーセキュリティセンター（NCSC-NL）は2026年8月28日、Microsoft Exchange Serverに複数の深刻な脆弱性が見つかったと公表した。なかでもCVE-2026-62911は認証なしで任意コードを実行できる欠陥でCVSS 8.0、すでに概念実証コードが公開されている。Exchange Server 2016/2019およびSubscription Editionが影響を受け、修正パッチが公開済みだ。
オランダ国家サイバーセキュリティセンター（NCSC-NL）は2026年8月28日（欧州中央時間）、Microsoft Exchange Serverに複数の深刻な脆弱性が見つかったとするセキュリティアドバイザリ「NCSC-2026-0289」を公表した。Microsoftはすでに修正プログラムを公開しており、NCSCは「できる限り速やかに更新を適用すること」を呼びかけている。
何が起きたか — CVE-2026-62911は認証なしでコード実行
NCSCによると、今回のアドバイザリは7件の脆弱性をまとめたものだ。なかでもCVE-2026-62911はCVSS v3で8.0と評価され、概念実証（PoC）コードがオンラインで公開されている。NCSCは当初の深刻度評価「MEDIUM/HIGH」から、PoCの出現を受けて**「HIGH/HIGH」へ引き上げた**。
NCSCはCVE-2026-62911について「認証を受けていない攻撃者が任意のコードを実行できる」欠陥だと説明している。悪用に成功した攻撃者は、Exchange利用者のメールボックスへアクセスできるほか、そこを足がかりに被害組織のネットワーク内でさらに攻撃を展開できる可能性がある。
他の6件もDoS（サービス拒否）、なりすまし、権限昇格、機密情報へのアクセスにつながる欠陥で、NCSCは「クロスサイトスクリプティング（XSS）」「リソース挿入」「ヒープバッファオーバーフロー」「キャプチャ・リプレイによる認証バイパス」「信頼できないデータのデシリアライゼーション」「認可の欠如」「SSRF」といった弱点タイプを列挙している。
| CVE | CVSS v3 | 主な影響（NCSC記載） |
|---|---|---|
| CVE-2026-62911 | 8.0 | 認証なしリモートコード実行（PoC公開済み） |
| CVE-2026-62913 | 8.8 | コード実行・権限昇格など |
| CVE-2026-62910 | 7.2 | XSS等 |
| CVE-2026-62914 | 7.3 | 権限昇格・情報漏えい |
| CVE-2026-62912 | 6.5 | DoS、なりすまし |
| CVE-2026-62915 | 6.5 | 情報漏えい等 |
| CVE-2026-65813 | 6.5 | 情報漏えい等 |
表はNCSCアドバイザリのCVSS評価に基づく。数値が高いほど悪用時の影響が大きいことを示す。
影響を受ける製品とバージョン
NCSCが「影響を受ける製品」として明示したのは次の3系統だ。
- Microsoft Exchange Server 2016 Cumulative Update 23
- Microsoft Exchange Server 2019 Cumulative Update 14 および Cumulative Update 15
- Microsoft Exchange Server Subscription Edition RTM
Exchange Serverは多くの企業・自治体でメール、予定表、連絡先の基盤として使われている。NCSCは「脆弱性を悪用されると、メールの窃取だけでなく業務の停止やデータ漏えいにもつながる」と注意を促している。
修正状況とNCSC・Microsoftが示す対応
Microsoftはこれらの脆弱性を解消するセキュリティ更新プログラムを公開済みだ。NCSCは「Microsoftが提供する更新を速やかにインストールすること」を推奨し、詳細はMicrosoftのセキュリティ更新ガイドを参照するよう案内している。
NCSCが特に強調しているのが、**Exchange Server 2016と2019はすでにサポート終了（End-of-Life）**しており、Extended Security Updates（ESU）プログラムを通じてのみ修正が提供される点だ。NCSCは、ESUの適用を受けていない2016/2019環境について「内部ネットワークからのみアクセス可能にし、可能な限り早期に移行・廃止すること」を強く推奨している。
NCSCは「どのバージョンを使っているか分からない場合は、IT管理者またはITサービス提供者に問い合わせること」と呼びかけている（NCSCアドバイザリより）。
日本の利用者がいま確認すべきこと
Exchange Serverは日本国内でも多くの組織でオンプレミス運用が残っている。NCSCはオランダの機関だが、指摘する対策は国を問わず共通だ。
- 自組織でExchange Serverを運用しているかを確認する。クラウドのExchange Onlineのみを利用している場合は本件の影響を受けない。
- 運用中の場合はバージョンと累積更新プログラム（CU）の適用状況を確認し、NCSCアドバイザリが示す影響バージョンに該当すれば、Microsoftが公開したセキュリティ更新を適用する。
- Exchange 2016または2019でESU未適用の環境は、NCSCが示すとおりインターネットからの直接公開を停止し、移行計画を立てる。
NCSCは「PoCは攻撃の敷居を下げ、悪用を容易にする」と指摘している。修正プログラムの適用前にPoCが公開されたことで、攻撃者が検証を進める時間が生まれている。利用者は「修正済みか」を前提に判断し、未適用の場合は速やかな更新が求められる。
出典
- NCSC-NL セキュリティアドバイザリ NCSC-2026-0289（2026年8月28日公表、バージョン1.0.1でPoC公開を追記） https://advisories.ncsc.nl/2026/ncsc-2026-0289.html
- NCSC-NL アラート「Ernstige kwetsbaarheden in Microsoft Exchange Server」 https://www.ncsc.nl/alerts/ernstige-kwetsbaarheden-in-microsoft-exchange-server
- Microsoft Security Response Center — CVE-2026-62911 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62911
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。