Exchange Server の脆弱性 CVE-2025-53786：深刻な権限昇格について CISA が緊急勧告

New Microsoft Exchange Server Vulnerability Allows Unauthorized Admin Privilege Escalation

2025/08/07 gbhackers — Microsoft が公表したのは、Exchange Server のハイブリッド展開に影響を及ぼす、深刻なセキュリティ脆弱性の存在である。この脆弱性を悪用する、管理者アクセス権を持つ攻撃者は、権限の昇格を達成し、組織のクラウド／オンプレミス・インフラ全体を侵害する可能性を手にする。この脆弱性 CVE-2025-53786 は、2025年8月6日に公表されたものであるが、その直後から、世界各国のサイバー・セキュリティ機関が対応を開始している。

脆弱性の概要

この脆弱性は、Microsoft Exchange Server のハイブリッド・デプロイメントにおける特権昇格の欠陥であり、ハイブリッド Exchange 環境を運用する組織にとって深刻なセキュリティ・リスクとなる。

具体的には、オンプレミスの Microsoft Exchange サーバに対して、すでに管理者アクセス権を取得している攻撃者が、脆弱なハイブリッド接続のコンフィグを悪用することで、さらなる特権昇格の可能性を得ることになる。

この脆弱性を悪用する攻撃者は、ハイブリッド・デプロイメントにおける認証メカニズムを標的とし、Exchange Online サービスにおける ID の完全性を侵害するとされる。なお、この脆弱性の CVSS スコアは 8.0 であり、Microsoft により深刻度 Important と評価されている。

攻撃ベクターには、ネットワーク・アクセスが必要であり、攻撃の複雑度は高く、高特権も要求されるが、ユーザーの操作は不要である。この脆弱性が悪用された場合には、機密性／完全性／可用性に重大な影響を及ぼし、システム全体にわたるスコープの変更が生じるかもしれない。

CVE DetailsInformation
CVE IDCVE-2025-53786
Release DateAugust 6, 2025
SeverityImportant (8.0/7.0 CVSS)
ImpactElevation of Privilege
WeaknessCWE-287: Improper Authentication
Vector StringCVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C
Assigning CNAMicrosoft

この脆弱性に関する緊急のガイダンスが、米国の Cybersecurity and Infrastructure Security Agency  (CISA) から発行された。Microsoft によると、この脆弱性の悪用は現時点で確認されていないとのことだが、CISA は「対応を怠れば、ハイブリッド・クラウドおよびオンプレミスのドメイン全体が侵害される可能性がある」と強く警告している。

Exchange のハイブリッド・デプロイメントを利用している組織に対して、強く推奨されるのは、Microsoft のセキュリティ・ガイダンスを直ちに確認し、以下の対策を速やかに講じることだ。

  • オンプレミスの Exchange サーバに対して、2025年4月に提供された Exchange Server ホット・フィックス更新プログラムを適用する。
  • Microsoft の推奨する、専用の Exchange ハイブリッド・アプリケーション・コンフィグ手順に従う。
  • これまでに Exchange ハイブリッド環境を使用してきた組織は、サービス・プリンシパル・クリーンアップ・モードのガイダンスに従い、サービス・プリンシパル・キーの Credentials をリセットする。
  • Microsoft Exchange Health Checker を実行し、追加の修復措置が必要かどうかを確認する。

さらに CISA が推奨するのは、サポートが終了している Exchange Server／SharePoint Server のパブリック向けバージョン (特に SharePoint Server 2013 以下) を、速やかにインターネットから切り離すことだ。

Microsoft Exchange Server のハイブリッド・デプロイメントに、特権昇格の脆弱性が存在するとのことです。原因は、ハイブリッド接続のコンフィグにおける認証の不備であり、それを悪用する管理者権限を持つ攻撃者は、Exchange Online にまで侵害を拡大する可能性を手にするようです。CISA による緊急の勧告が気になるところです。ご利用のチームは、ご注意ください。よろしければ、Microsoft Exchange で検索も、ご参照ください。