CVE-2026-56191とは？Exchange Onlineは緩和済みで対応不要

CVE-2026-56191は、Microsoft Exchange Onlineの認証処理に関する脆弱性です。認証されていない攻撃者がネットワーク経由でデータを改ざんできる可能性があり、CVSS基本値は最大の10.0に設定されています。

ただし、Microsoftはすでにサービス側で脆弱性を完全に緩和しており、Exchange Onlineの利用者や管理者が更新プログラムの適用、設定変更、パスワードリセットなどを行う必要はありません。脆弱性管理では「未対応」のまま残すのではなく、Microsoftの案内を証跡として記録し、「ベンダー側で緩和済み・利用者対応不要」と整理するのが適切です。(Microsoft Security Response Center)

CVE-2026-56191の概要

CVE-2026-56191は、Microsoft 365のクラウドメールサービスであるMicrosoft Exchange Onlineを対象とした認証不備です。

公開されている情報を整理すると、次のようになります。

項目	内容
CVE番号	CVE-2026-56191
対象サービス	Microsoft Exchange Online
脆弱性の種類	認証不備
CWE	CWE-287：Improper Authentication
影響	ネットワーク経由でのデータ改ざん
CVSS v3.1	10.0／Critical
攻撃元	ネットワーク経由
攻撃に必要な権限	不要
利用者の操作	不要
Microsoftの対応	サービス側で完全に緩和済み
利用者側の作業	不要

NVDに登録された説明では、Microsoft Exchange Onlineの不適切な認証処理により、認証されていない攻撃者がネットワーク経由で改ざんを実行できる脆弱性とされています。CVSSベクトルは、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hです。(NVD)

結論：Exchange Online管理者による修正作業は不要

CVE-2026-56191について、Exchange Online管理者が行うべき緊急の修正作業はありません。

具体的には、次の対応は不要です。

Exchange Onlineの設定変更
Microsoft 365アプリやOutlookの更新
Exchange Server向けセキュリティ更新プログラムの適用
全ユーザーのパスワードリセット
MFAの再登録
OAuthトークンやセッションの一括失効
メールボックスの再作成
Exchange Onlineへの通信制限

Microsoftの案内では、脆弱性はすでに完全に緩和されており、サービス利用者が追加作業を行う必要はないとされています。これは、利用者が管理する端末やサーバーではなく、Microsoftが運用するExchange Onlineのサービス基盤側で対処されたためです。(Microsoft Security Response Center)

ただし、「対応不要」は何もしなくてよいという意味ではありません。企業や自治体の脆弱性管理では、後述するように、対応不要と判断した根拠を記録しておくことが重要です。

CVSS 10.0なのに対応不要となる理由

CVE-2026-56191で混乱しやすいのが、CVSS 10.0という非常に高いスコアと、利用者側の対応不要という案内が同時に存在する点です。

これは矛盾ではありません。

CVSS基本値は、脆弱性が存在する状態を前提として、攻撃条件や技術的な最大影響を数値化したものです。一方、対応要否は、ベンダーによる修正状況、サービスの提供形態、利用者が操作できる範囲などを含めて判断します。

判断項目	CVE-2026-56191での意味
CVSS基本値	脆弱性そのものの技術的な深刻度
緩和状況	Microsoftがサービス側で対応済みか
利用者の管理範囲	利用者が脆弱なプログラムを更新できるか
対応要否	現時点で利用者が追加作業を行う必要があるか

CVSSは0.0から10.0までの範囲で脆弱性の技術的な重大性を示しますが、ベンダーによる修正状況や各組織の環境を含む、すべてのリスク要因を直接表すものではありません。FIRSTのCVSS仕様でも、脆弱性管理ではCVSS以外の要因を組み合わせて優先順位を決めることが示されています。(FIRST)

したがって、今回の判断は次のようになります。

脆弱性が未修正だった場合の技術的な深刻度は最大級だが、現在はMicrosoftがクラウド側で緩和済みであるため、利用者側の修正作業は不要です。

CVSSベクトルから分かる攻撃条件

CVE-2026-56191のCVSS v3.1ベクトルは、次のとおりです。

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

各項目の意味を整理すると、以下のようになります。

指標	評価	意味
AV:N	Network	ネットワーク経由で攻撃可能と評価されている
AC:L	Low	攻撃の複雑さが低いと評価されている
PR:N	None	攻撃前にアカウントや権限を必要としない
UI:N	None	利用者によるクリックなどを必要としない
S:C	Changed	脆弱な部分とは異なるセキュリティ境界にも影響し得る
C:H	High	機密性への影響が大きいと評価されている
I:H	High	完全性への影響が大きいと評価されている
A:H	High	可用性への影響が大きいと評価されている

この評価だけを見ると、緊急対応が必要な脆弱性に見えます。特に、ネットワーク経由、認証不要、利用者操作不要という条件は、一般的な脆弱性管理では優先度を高くする要素です。(NVD)

しかし、これはあくまで脆弱性の技術的特性です。現在のExchange Online環境に脆弱な状態が残っていることや、利用者がパッチを適用しなければならないことを意味するものではありません。

CWE-287の認証不備とは

CVE-2026-56191は、CWE-287「Improper Authentication」に分類されています。

CWE-287は、利用者やシステムが特定のIDを名乗った際に、その主張が正しいことを十分に検証できていない状態を指します。簡単に言えば、本人確認の処理に不足や抜けがある問題です。(CWE)

ただし、CWE-287という分類だけから、次のような攻撃方法を断定することはできません。

パスワードなしでMicrosoft 365にログインできた
MFAを回避できた
管理者アカウントを乗っ取れた
OAuthトークンを偽造できた
任意のメール本文を書き換えられた
メール転送ルールを自由に変更できた

CWEは脆弱性の原因を大きく分類するための情報です。実際にどの認証処理に問題があり、どのオブジェクトを変更できたのかは、Microsoftが公開している情報だけでは明らかになっていません。

そのため、記事や社内通知で「MFAが完全に回避された」「すべてのメールが改ざんされた」などと表現するのは避けるべきです。

「データ改ざん」で具体的に何が変更されるのか

MicrosoftとNVDの公開情報では、CVE-2026-56191によって「ネットワーク経由で改ざんを実行できる」と説明されています。一方、改ざんの対象となる具体的なデータや操作手順は公開されていません。(NVD)

Exchange Onlineで扱われる情報には、メール、予定表、連絡先、メールボックス設定、配信関連情報などがあります。しかし、これらのどれが本脆弱性の対象だったのかを、公開情報から特定することはできません。

したがって、実務では次のように整理します。

改ざん可能だったデータの種類は公開情報だけでは特定できない
CVSSの完全性評価はHighだが、すべてのExchange Onlineデータを変更できたと断定しない
脆弱性の存在と、実際に自組織が侵害されたことを混同しない
Microsoftが案内していないパスワード変更や全ログ調査を、根拠なく必須対応にしない

CVSS 10.0という数字だけを取り上げて被害内容を推測すると、不要な緊急対応や誤った社内説明につながります。

Exchange ServerやOutlookは対象なのか

CVE-2026-56191の対象製品として登録されているのは、Microsoft Exchange Onlineです。オンプレミス環境で稼働するMicrosoft Exchange Serverは、本CVEの対象製品として記載されていません。(NVD)

環境別の対応は、次のように判断できます。

利用環境	CVE-2026-56191への対応
Exchange Onlineのみ	Microsoftが緩和済み。利用者作業不要
Microsoft 365とOutlook	Outlookの更新は本CVE対策としては不要
Exchangeハイブリッド構成	Exchange Online側は対応不要。オンプレミス側は通常の更新管理を継続
オンプレミス版Exchange Serverのみ	本CVEは対象外
メールセキュリティ製品を併用	本CVEを理由とする設定変更は不要

ハイブリッド構成では、Exchange Online側の脆弱性とオンプレミス版Exchange Serverの脆弱性を分けて管理する必要があります。

今回のCVEを理由にExchange Server向けの累積更新プログラムやセキュリティ更新プログラムを探す必要はありません。ただし、Exchange Serverに別の脆弱性や未適用更新がある場合は、それらへの対応を通常どおり継続してください。

管理者が実際に行うべき対応

利用者側の修正作業は不要ですが、脆弱性管理上は次の手順で処理すると、監査や上司への説明がしやすくなります。

MSRCの最新情報を確認する

Microsoft Security Response CenterのCVEページを開き、次の内容を確認します。

対象製品がMicrosoft Exchange Onlineであること
Microsoftが完全に緩和済みとしていること
利用者側の作業が不要とされていること
公開後に情報が更新されていないか

Microsoftは後日、説明やFAQ、影響範囲を更新することがあります。脆弱性管理票を閉じる時点の確認日も記録しておくと安全です。(Microsoft Security Response Center)

脆弱性管理票に判断根拠を記録する

単に「対応不要」とだけ記録すると、後から理由を確認できません。次のように記載すると明確です。

CVE-2026-56191はMicrosoft Exchange Onlineの認証不備。CVSS v3.1は10.0だが、Microsoftによりサービス側で完全に緩和済み。Microsoftの案内では利用者側の作業は不要。オンプレミス版Exchange Serverおよびクライアント端末への更新作業は実施しない。MSRC情報を2026年○月○日に確認。

管理ツールの対応区分は、組織のルールに応じて次のいずれかを使用します。

ベンダー対応済み
サービス側で緩和済み
利用者対応不要
SaaS事業者による修正済み
リスク解消済み
非該当ではなく対応済み

Exchange Onlineを利用している組織は、本CVEと無関係という意味での「非該当」ではありません。対象サービスは利用していますが、Microsoftによる緩和が完了しているため、「ベンダー対応済み」または「利用者対応不要」とする方が正確です。

資産管理上の誤判定を修正する

脆弱性スキャナーや外部のセキュリティレポートが、CVE-2026-56191を「未修正のCritical脆弱性」として表示する可能性があります。

その場合は、次の点を確認します。

スキャナーがExchange Onlineを顧客管理サーバーとして扱っていないか
CVSSだけを基準に未対応判定していないか
SaaSのベンダー側緩和を反映できる管理項目があるか
Exchange ServerとExchange Onlineが同一製品として集計されていないか

自動的に解消できない場合は、MSRCの案内を根拠として例外処理し、手動で「ベンダー緩和済み」に変更します。

必要に応じて関係者へ通知する

経営層や情報セキュリティ部門から「CVSS 10なのに対応しなくてよいのか」と質問されることがあります。

その際は、次のように説明できます。

技術的な深刻度はCVSS 10.0ですが、対象はMicrosoftが運用するExchange Onlineのサービス基盤です。Microsoftがすでに完全に緩和しており、利用者向けの更新プログラムや設定変更はありません。当組織ではMSRCの案内を確認し、ベンダー対応済みとして記録します。

「CVSSが高いから何か作業する」のではなく、「現在の脆弱な状態が残っているか」「自組織が変更できる対象か」を確認して判断することが重要です。

念のためログを確認する必要はあるのか

MicrosoftはCVE-2026-56191について利用者側の作業を求めていないため、本CVEの公開だけを理由に、全組織が緊急のログ調査を行う必要はありません。

特に、次のような大規模対応を一律に実施する根拠は、公開情報にはありません。

全メールボックスの変更履歴調査
全ユーザーのサインインログ調査
全パスワードの強制変更
全セッションの失効
全アプリの同意取り消し
全メールデータのバックアップ復元

一方、CVEとは別に不審な事象が確認されている場合は、通常のインシデント対応を行います。

たとえば、身に覚えのない管理操作、不審なメール設定変更、異常なサインイン、Microsoft 365 DefenderやMicrosoft Purviewからの警告がある場合です。この場合は、「Microsoftが脆弱性を緩和済みだから調査不要」とは判断せず、組織のインシデント対応手順に従ってください。

つまり、次の2つを分けて考えます。

状況	判断
CVE情報を確認しただけで、異常兆候はない	緊急ログ調査は不要
実際に不審な操作や警告がある	通常のインシデント調査を実施
外部から侵害の連絡を受けた	Microsoftサポートを含めて調査
監査規程でCritical CVEの確認が必須	規程に沿って確認し、対応不要の根拠を記録

パスワード変更やMFA再登録は必要か

CVE-2026-56191への対応として、全ユーザーのパスワードを変更したり、MFAを再登録したりする必要はありません。

認証不備という分類から、アカウント情報が漏えいした、パスワードが解読された、MFAが突破されたと直ちに判断することはできません。

パスワード変更やセッション失効を行うのは、次のような別の根拠がある場合です。

不審なサインインが確認された
アカウント侵害のアラートが発生した
フィッシングサイトへ認証情報を入力した
未知の端末や地域からログインされている
不審なアプリケーション同意がある
Microsoftまたはセキュリティ事業者から個別に侵害通知を受けた

根拠のない一斉パスワード変更は、問い合わせ増加や業務停止を招くだけでなく、利用者が単純なパスワードを設定する原因になることもあります。

対応時に避けたい誤り

CVSS 10.0だけを見て緊急パッチを探す

Exchange OnlineはMicrosoftが管理するクラウドサービスです。今回のCVEに対して、利用者がインストールするKB番号や修正ファイルはありません。

Microsoft Update CatalogやExchange Serverの更新履歴を探しても、本CVEに対する利用者向けパッチは見つかりません。

Exchange Server向け更新を代わりに適用する

CVE名に「Exchange」と入っていても、Exchange OnlineとExchange Serverは異なります。

本CVEを理由に、検証を省略してオンプレミス版Exchange Serverの更新を適用すると、再起動やサービス停止など、不要な運用リスクを発生させる可能性があります。

Exchange Serverの更新は、同製品を対象とした別のセキュリティ情報に基づいて判断してください。

「対応不要」を「脆弱性は存在しなかった」と記録する

Microsoftが緩和済みであることと、脆弱性が存在しなかったことは同じではありません。

脆弱性管理では、次のように記録するのが適切です。

誤：対象外、脆弱性なし
正：対象サービスだがMicrosoftが緩和済み
正：顧客側の追加作業なし
正：ベンダーの公開情報を証跡として保管

改ざん対象を推測して断定する

公開情報では、具体的にどのデータをどのように改ざんできたのかは示されていません。

「攻撃者がすべてのメールを書き換えられる」「テナントを完全に乗っ取れる」といった表現は、確認された事実ではありません。社内通知や顧客向け説明では、Microsoftが公開している範囲を超えて断定しないようにしてください。

組織別の対応判断例

組織の状況	推奨する処理
Microsoft 365を通常利用している	MSRCを確認し、ベンダー緩和済みとして記録
Exchange Onlineを利用していない	対象外として記録
Exchangeハイブリッド環境	Online側は対応不要。オンプレミス側の通常更新は継続
脆弱性スキャナーでCritical表示された	MSRCを証跡に、ベンダー対応済みへ変更
SOCから緊急確認を求められた	修正状況と利用者作業不要を回答
不審なExchange操作が確認されている	CVE対応とは別にインシデント調査
顧客や監査人から説明を求められた	CVSSと現在の対応要否が別であることを説明

CVE-2026-56191に関するよくある質問

Exchange Onlineにパッチを適用する必要はありますか

必要ありません。MicrosoftがExchange Onlineのサービス側で脆弱性を緩和しています。利用者向けの更新プログラムはありません。(Microsoft Security Response Center)

Windows Updateを実行すればよいですか

本CVEへの対策としてWindows Updateを実行する必要はありません。WindowsやOutlookなど、利用者の端末側を対象とした脆弱性ではないためです。

ただし、通常のセキュリティ更新は継続してください。

Exchange Serverは影響を受けますか

本CVEの対象製品として登録されているのはMicrosoft Exchange Onlineです。オンプレミス版Exchange Serverは本CVEの対象として記載されていません。(NVD)

メールが実際に改ざんされたという意味ですか

脆弱性によって改ざんが可能だったことと、実際に自組織のメールが改ざんされたことは別です。公開情報だけでは、特定組織での侵害や具体的な改ざん対象を確認できません。

CVSS 10.0なら、最優先で対応すべきではありませんか

未修正であれば最優先で扱うべき技術的特性です。しかし、今回はMicrosoftがクラウド側で緩和済みです。現在の対応要否は、CVSSだけでなく、修正状況と利用者の管理範囲を含めて判断します。

パスワードを変更した方が安全ではありませんか

通常の定期変更や侵害対応を除き、本CVEだけを理由に一斉変更する必要はありません。不審なサインインや個別の侵害兆候がある場合に対応してください。

CVE-2026-56191への最終的な対応方針

CVE-2026-56191は、Exchange Onlineの認証不備により、認証されていない攻撃者がネットワーク経由で改ざんを行える可能性があった重大な脆弱性です。CVSS v3.1は10.0で、CWE-287に分類されています。(NVD)

一方、Microsoftは脆弱性をサービス側で完全に緩和しており、利用者がパッチ適用や設定変更を行う必要はありません。Exchange Online管理者が次に行うべきことは、不要な緊急作業ではなく、次の3点です。

MSRCの最新情報を確認する
「Microsoftによる緩和済み・利用者作業不要」と記録する
脆弱性管理票やスキャナーの未対応判定を適切に閉じる

不審な操作など別のインシデント兆候がない限り、パスワードの一斉変更、ログの全件調査、OutlookやExchange Serverへの追加更新は不要です。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。