Microsoft Releases Emergency Exchange Server Update to Fix CVE-2026-96940
2026/10/05 gbhackers — Microsoft がリリースしたのは、オンプレミスの Exchange Server 向けに2026年9月版を改訂したセキュリティ・アップデート・パッケージである。この V2 アップデートは、脆弱性 CVE-2026-96940 の修正を取り込むものであり、Exchange Server Subscription Edition／Exchange Server 2019／Exchange Server 2016 に適用される。Exchange Online の顧客は、すでに保護されているため、このアップデートを適用する必要はない。
この改訂版アップデートは、2026年9月の Exchange Server セキュリティ・アップデートに代わるものとして、2026年10月2日に公開された。Microsoft によると、新しいパッケージは、脆弱性 CVE-2026-96940 に加え、外部のセキュリティ・パートナーから報告された脆弱性や、同社内部のセキュリティ・プロセスで特定された脆弱性にも対処している。
影響を受ける Exchange のバージョン
2026年9月版 V2 セキュリティ・アップデートは、以下の製品に対応する。
- Exchange Server Subscription Edition: Exchange SE RTM
- Exchange Server 2019: CU14／CU15、Period 2 拡張セキュリティ・アップデート (ESU) 経由
- Exchange Server 2016: CU23、Period 2 ESU 経由
Exchange Server 2016／Exchange Server 2019 はサポート終了製品であるため、2026年9月版 V2 アップデートを適用できるのは、Microsoft の Period 2 Extended Security Update プログラムに加入している組織に限られる。このプログラムは、2026年5月から10月に提供された、セキュリティ・アップデートの対象となる顧客に向けたものである。
一方で、ESU プログラムに加入していない組織には、Exchange Server 2016／2019 向けの最新の修正は提供されないため、セキュリティ・アップデートを継続して受け取るためには、Exchange Server Subscription Edition への移行を計画する必要がある。
前述のとおり Microsoft は、Exchange Online を影響を受ける製品として記載していない。そのため、クラウド・サービスを利用する顧客はサーバ側のセキュリティ・アップデートを適用する必要はないが、環境内に残っているオンプレミスの Exchange Server／Exchange Management Tools をインストールしたワークステーションについてはアップデートする必要がある。
V2 アップデートでの主な追加内容は、当初のセキュリティ・アップデート・パッケージには含まれていなかった脆弱性 CVE-2026-96940 への対応である。影響を受ける製品バージョン／セキュリティ上の推奨事項などの脆弱性の詳細については、Microsoft Security Update Guide／関連する Knowledge Base 記事を確認するよう、同社は管理者に促している。
このアップデートは、ハイブリッド Exchange 環境を運用する企業にとって、注意を要する点も示している。メールボックスを Exchange Online へ移行済みであっても、オンプレミス環境に残る Exchange Server や管理システム、インターネットに公開されたメール・サーバにパッチを適用していない場合は、脆弱な状態になる可能性がある。
Microsoft が管理者に推奨しているのは、Exchange Server Health Checker スクリプトを最初に実行することである。このスクリプトは、Exchange のインストール状況を調査し、不足している累積アップデート／セキュリティ・アップデート／手動での修正が必要な項目を特定する。新しいセキュリティ・アップデートを適用する組織は、サポート対象の累積アップデートがサーバ上に適用されていることを、事前に確認する必要がある。管理者は、Microsoft の Exchange Update Wizard を使用し、現在の Exchange ビルドに適したアップグレード経路を確認できる。
インストール後について Microsoft が推奨しているのは、影響を受けるサーバの再起動による、すべての Exchange サービスの正常な起動の確認である。パッチ適用後にサービスが無効化されている場合は、インストールが中断された可能性があるため、本番環境での運用を再開する前に修正する必要がある。セットアップの失敗やインストール後のエラーが発生した場合に Microsoft が推奨するのは、SetupAssist スクリプトの使用や Exchange のアップデート修復ガイダンスの参照である。
今回の V2 パッケージでは、ハイブリッド環境の共有メールボックスの受信トレイにラッパー・メッセージが表示される問題や、Graph API のみを使用するハイブリッド環境で、委任されたメールボックスの空き時間情報を取得できない問題も修正されている。
Microsoft Exchange Server におけるセキュリティ更新の遅れや設定漏れが問題視されています。この問題は、悪意のある攻撃者によるシステム侵害／機密情報の漏洩／サービスの停止といった重大なリスクを引き起こします。対応策として、CVE-2026-96940 に対処した改訂版パッケージの適用／事前のヘルスチェック実行／管理用端末を含むオンプレミス環境の再確認／修正適用後のサービス起動確認が有効です。クラウドへ一部移行済みの環境であっても残存サーバーの放置は危険であり、定期的なセキュリティ情報の追跡と迅速なパッチ適用が強く求められます。
You must be logged in to post a comment.