PoC Released for Microsoft Exchange CVE-2026-62911 Pre-Auth RCE Attack Chain
2026/09/01 gbhackers — Microsoft が公表したのは、Pwn2Own Berlin 2026 の開催後に開示された Exchange Server の認証バイパスの脆弱性 CVE-2026-62911 に関する情報である。この Exchange Server の脆弱性に関しては、認証前のリモート・コード実行チェーンを主張する、公開された概念実証 (PoC) リポジトリが注目を集めている。防御側にとって必要なことは、公開された PoC を隔離されたラボ環境で検証し、実環境では未検証の攻撃コードとして扱うことである。
Zero Day Initiative (ZDI) の説明では、脆弱性 CVE-2026-62911 は単独で未認証のリモート・コード実行 (RCE) を可能にするものではなく、キャプチャ・リプレイ攻撃を伴う認証バイパスによる権限昇格の脆弱性とされている。
エクスプロイト・チェーンで利用される Exchange Server の脆弱性
ZDI は CVE-2026-62911 を ZDI-26-538 として追跡しており、オンプレミスの Microsoft Exchange 環境に影響するとしている。この脆弱性の原因は認可処理における不適切なセッション管理にあり、通常は認証が必要であるものの、既存の認証メカニズムをバイパスできるとされているため、CVE-2026-62911 を他の脆弱性や攻撃条件と組み合わせることで、SYSTEM 権限での任意のコード実行に至る可能性がある。
実際に、この脆弱性は DEVCORE の Orange Tsai が Pwn2Own Berlin 2026 で実証した、3件の脆弱性を組み合わせた Exchange のエクスプロイト・チェーンの一部である。このチェーンでは、SYSTEM 権限でのコード実行に成功したと報告され、20 万ドルの報奨金が提供された。
さらに、新たに流通している PoC リポジトリでは、Exchange の Mailbox Replication Service Proxy (MRSProxy) を中心的な標的とする攻撃手順が詳述されている。攻撃者が 1 台の Exchange Server に NTLM 認証を強制させ、その認証情報を別のサーバの MRSProxy サービスへリレーすることで、Windows Communication Foundation (WCF) を介したメールボックス・レプリケーション操作が悪用され、サーバ側でファイルを書き込める可能性があるという。
報告されているコード実行手法では、IIS からアクセス可能なディレクトリに ASPX ペイロードを書き込み、Exchange の Web サーバを介して当該ファイルへリクエストを送信する。それにより、ファイル書き込み機能を Web シェルによるリモート・コマンド実行へと発展させ、SYSTEM 権限の Exchange プロセス・コンテキストで動作させることが可能になる。
技術的な主張の中心となっているのは、HTTP.sys でホストされ、Negotiate 認証を受け入れる MRSProxy エンドポイントであり、このエンドポイントでは Extended Protection for Authentication (EPA) のチャネル・バインディングが強制されていないとされている。そのため、EPA が存在しない NTLM リレーのシナリオでは、対象サービスに対する認証が意図された保護チャネル上で行われたことを検証できなくなる可能性がある。
これに加えて、Exchange のメールボックス・レプリケーション機能には、任意のパスにファイルを書き込める脆弱性が存在すると報告されており、ZDI は、外部からファイルパスを制御できる脆弱性 ZDI-26-535 についても文書化している。ファイル操作の前にユーザーが指定したパスを適切に検証しないことで、任意のコード実行につながる可能性があるとされている。
これらを踏まえると、報告されている攻撃結果を CVE-2026-62911 単独によるものとして捉えるべきではなく、運用における極めて重要な点が浮かび上がってくる。ただし、この認証前 RCE を実現するには、認証バイパス／認証リレー／認可処理の脆弱性／認証の強制／任意のファイル書き込みといった複数の条件を連鎖させる必要がある。
影響を受ける Exchange バージョン
公開されている CVE 情報によると、Exchange Server 2016 CU23／Exchange Server 2019 CU14／Exchange Server 2019 CU15／Exchange Server Subscription Edition RTM の各ビルドが影響を受ける。修正済みビルドは、Exchange 2016 CU23 15.1.2507.72／Exchange 2019 CU14 15.2.1544.44／Exchange 2019 CU15 15.2.1748.49／Exchange SE RTM 15.2.2562.46 である。
なお、Exchange 2016 は 2025年10月にサポートが終了しているため、Extended Security Updates を利用していない組織では、セキュリティ更新プログラムの適用手段が限られる可能性がある。組織にとって必要なことは、Microsoft の 2026年8月 Exchange セキュリティ更新プログラムを直ちに適用し、インストール済みのビルド番号と MRSProxy エンドポイントへの外部からの到達可能性を確認することだ。
セキュリティ・チームは次の対応を行う必要がある。
- Exchange サービス全体で Extended Protection を有効化し、設定を確認する。
- Exchange／管理インターフェイスへの不要な受信アクセスを制限する。
- Exchange サーバ間の異常な NTLM 認証パターンを監視する。
- IIS の Exchange Web ディレクトリ内で、最近作成された ASPX ファイルを検索する。
- IIS／HTTP.sys／Exchange／エンドポイントのテレメトリを確認し、異常なメールボックス・レプリケーション活動の有無を調査する。
公開されたエクスプロイト関連資料により、攻撃手法の検証が容易になるだけでなく、潜在的な悪用の障壁も低下している。Exchange 管理者にとって極めて重要なことは、迅速なパッチ適用に加えて、外部公開範囲を縮小することである。
Microsoft Exchange に影響する脆弱性 CVE-2026-62911 の PoC を解説する記事です。セッション管理の不備に起因する認証バイパスと NTLM リレー攻撃を連鎖させることで、外部から SYSTEM 権限で任意のコードを実行される恐れがあります。公開された攻撃検証コードにより、不正なファイル設置による Web シェル化やシステム侵害のリスクが高まっています。対応策として、セキュリティ更新プログラムの適用／Extended Protection の有効化／不要な受信アクセスの制限／異常な認証やファイル生成の監視が求められます。
IoT OT Security News 
You must be logged in to post a comment.