MENU

Exchange ServerのCVE-2026-62913修正ビルド一覧｜CU別KBと適用手順

Microsoft

Exchange ServerのCVE-2026-62913は、製品とCUに対応する2026年8月SUで修正されています。これから更新する場合は、そのCU向けの後続SUも確認してください。8月の修正KBは2016 CU23がKB5121576、2019 CU14がKB5121575、CU15がKB5121574、Subscription Edition（SE）RTMがKB5121573です。(マイクロソフトサポート)

CVE-2026-62913は、認証済みの攻撃者がネットワーク経由でコードを実行できる、ヒープベースのバッファーオーバーフローの脆弱性です。認証が必要であっても、更新不要とは判断できません。悪用状況や対処の追加情報は、作業時にMicrosoft Security Response Centerで確認してください。

目次

更新ファイル名と公式の入手先

Exchange2019-KB5121574-x64-en.exeを探している場合、対象はExchange Server 2019 CU15の8月SUです。CU14や2016用のファイルとは入れ替えられません。以下の公式KBで、製品・CU・ファイル名を照合してください。

製品・CU8月SUの英語版ファイル名公式KB
2019 CU15Exchange2019-KB5121574-x64-en.exeKB5121574
2019 CU14Exchange2019-KB5121575-x64-en.exeKB5121575
2016 CU23Exchange2016-KB5121576-x64-en.exeKB5121576
SE RTMExchangeSubscriptionEdition-KB5121573-x64-en.exeKB5121573

2016・2019のKBは、ESU Period 2に加入した組織向けの入手条件を案内しています。公開KBにファイル名が載っていることと、誰でもインストーラーを取得できることは別です。購入済みで入手方法が不明な場合は、KBのESU問い合わせ先を確認してください。SEはKBの［Download the package now］から対象パッケージへ進みます。［Download the file now］と表示されたファイル情報のCSVやハッシュ表は、更新インストーラーではありません。

CVE-2026-62913の修正KBと修正済みビルド

CVE-2026-62913を修正する2026年8月のExchange Server向けセキュリティ更新プログラムは、次のとおりです。

対象製品・CU適用するKB更新レベル修正済みビルド
Exchange Server 2016 CU23KB5121576CU23 SU2415.1.2507.72
Exchange Server 2019 CU14KB5121575CU14 SU1315.2.1544.44
Exchange Server 2019 CU15KB5121574CU15 SU1015.2.1748.49
Exchange Server Subscription Edition RTMKB5121573RTM SU915.2.2562.46

Microsoftの公式KBでは、これらの更新プログラムがCVE-2026-62913を含む複数のExchange Server脆弱性を修正すると案内されています。修正済みビルドは、Microsoft Learnのビルド番号一覧でも確認できます。(Microsoft Learn)

Exchange Serverのセキュリティ更新プログラムはCUごとにパッケージが分かれています。たとえば、Exchange Server 2019 CU14にCU15向けのKB5121574を適用することはできません。現在のCUを確認し、必ず一致するKBを選んでください。

また、セキュリティ更新プログラムはCU単位で累積されます。同じCU向けの古いSUを順番に適用する必要はなく、最新のSUを適用すれば、そのCU向けに過去に公開されたセキュリティ修正も含まれます。(TECHCOMMUNITY.MICROSOFT.COM)

8月の修正済みビルドと9月SUを区別する

上の表はCVE-2026-62913を修正した8月SUの基準です。2026年10月2日に確認した公式ビルド一覧には、同じCU向けの9月8日SUも掲載されています。各9月KBは、対応する8月KBを置き換えると明記しています。

製品・CU後続の9月SUビルド
2016 CU23KB512161115.1.2507.73
2019 CU14KB512161015.2.1544.46
2019 CU15KB512160915.2.1748.51
SE RTMKB512160815.2.2562.49

たとえばCU15の15.2.1748.51を、8月の15.2.1748.49と一致しないという理由で未修正と判定してはいけません。製品・CUの系統を一致させ、適用したSUの公式ビルドと照合します。別CUの数字だけを大小比較する方法は避けてください。後続SUを選ぶ場合は、そのKBの既知の問題と入手条件も確認します。

2019 CU14の8月SU自体を照合する場合は、KB5121575・CU14 SU13・15.2.1544.44の組み合わせです。(マイクロソフトサポート)

CVE-2026-62913はどのような脆弱性か

CVE-2026-62913の主な情報を整理すると、次のようになります。

項目内容
脆弱性の種類ヒープベースのバッファーオーバーフロー
CWECWE-122
影響Exchange Server上でのコード実行
攻撃者に必要な条件Exchange Serverに対する認証
攻撃経路ネットワーク経由
攻撃の複雑さ低い
必要なユーザー操作なし
CVSS基本値8.8、重要度「高」

Microsoftが登録したCVEレコードでは、CWE-122、CVSS 3.1基本値8.8、低い権限が必要でユーザー操作は不要とされています。認証済み攻撃者によるコード実行の問題であるため、アカウントへの対策だけで修正済みとは判断できません。最新情報はMicrosoft Security Response Centerも確認してください。

認証が必要でも更新の確認を省略しない

認証が必要な脆弱性でも、侵害されたアカウントを使われる可能性があります。外部公開の有無だけで更新を除外せず、組織内の対象サーバーと管理ツール端末の更新状態を確認してください。アクセス制限や監視を継続しつつ、修正は対応する更新プログラムで行います。

現在のExchange Serverビルドを確認する方法

更新プログラムを選ぶ前に、Exchange Serverの製品、CU、SU、実際のビルド番号を確認します。

HealthCheckerで確認する方法

Microsoftは、Exchange Serverの更新状態を確認する方法としてExchange Server Health Checkerを推奨しています。管理者権限でExchange管理シェルを開き、最新のHealthCheckerスクリプトを実行します。

.\HealthChecker.ps1

複数のExchange Serverをまとめて確認する場合は、サーバー名を指定できます。

.\HealthChecker.ps1 -Server EX01,EX02,EX03

脆弱性情報を組織全体で確認する場合は、次のオプションも利用できます。

.\HealthChecker.ps1 -VulnerabilityReport

出力されたレポートのうち、特に次の項目を確認します。

  • Version
  • Build Number
  • Latest Install Time
  • Exchange IU or Security Hotfix Detected
  • セキュリティや更新に関する警告

HealthCheckerはExchange Server 2016、2019、Subscription Editionに対応しており、更新後の確認にも利用できます。(Microsoft)

ExSetup.exeからビルド番号を確認する方法

HealthCheckerをすぐに実行できない場合は、Exchange管理シェルで次のコマンドを実行します。

Get-Command ExSetup.exe | ForEach-Object {
    $_.FileVersionInfo
} | Select-Object ProductVersion, FileVersion, FileName

出力例は次のようになります。

ProductVersion   FileVersion      FileName
--------------   -----------      --------
15.02.1748.049   15.02.1748.049   C:\Program Files\Microsoft\Exchange Server\V15\bin\ExSetup.exe

この例はExchange Server 2019 CU15の修正済みビルド15.2.1748.49であるため、CVE-2026-62913への修正が適用済みと判断できます。

判定例は次のとおりです。

確認されたビルド判定必要な対応
15.2.1748.48Exchange 2019 CU15の2026年7月SUCU15向けの後続SUと適用条件を確認
15.2.1748.49Exchange 2019 CU15の修正済みビルド適用後確認を実施
15.2.1544.43Exchange 2019 CU14の2026年7月SUCU14向けの後続SUと適用条件を確認
15.2.1544.44Exchange 2019 CU14の修正済みビルド適用後確認を実施
15.1.2507.72Exchange 2016 CU23の修正済みビルド適用後確認を実施
15.2.2562.46Exchange SE RTMの修正済みビルド適用後確認を実施

Get-ExchangeServerの結果だけで判断しない

次のコマンドは、Exchange ServerのCUを確認する用途には使えます。

Get-ExchangeServer |
    Format-List Name,Edition,AdminDisplayVersion

ただし、AdminDisplayVersionにはインストール済みのSUやHUの最終ビルドが反映されない場合があります。たとえばCU15が表示されていても、2026年8月SUが適用されているとは限りません。

CVE-2026-62913の修正状況を判断するときは、HealthCheckerまたはExSetup.exeのファイルバージョンを使用してください。(Microsoft Learn)

古いCUを使用している場合の対応

Exchange Server 2019 CU13以前など、表にないCUには、今回のKBを直接適用できません。SUはCU固有のパッケージであり、対象外のCUへ流用できないためです。

古いCUを使用している場合は、次の順序で対応します。

  1. 現在のExchange Server、CU、SU、OS、.NETの状態を調査する
  2. 移行先または更新先のCUについて前提条件を確認する
  3. Active Directoryの準備やバックアップを行う
  4. 対象となる最新CUへ更新する
  5. 更新先CUに対応する最新SUを適用する
  6. HealthCheckerで再確認する

CUはそれ自体が完全なExchange Serverのインストールイメージであるため、通常はすべての中間CUを順番に導入する必要はありません。ただし、CUの更新ではActive Directoryの準備、前提ソフトウェア、設定ファイルの変更などが関係するため、SUを適用する場合より大規模な作業になります。(Microsoft Learn)

Exchange Server 2016と2019はサポート終了済み

Exchange Server 2016とExchange Server 2019は、通常サポートを終了しています。2026年8月の更新プログラムは、Extended Security Update、いわゆるESUプログラムに加入している組織が対象です。

Period 2のESUに加入している組織は、2026年10月末までに公開されるセキュリティ更新プログラムの対象とされています。ESUへ加入していない場合は、Exchange Server Subscription Editionへの移行を進める必要があります。(Microsoft Learn)

「KBが公開されているため、そのまま旧製品を使い続けられる」とは考えないでください。今回の更新はCVE-2026-62913を修正しますが、Exchange Server 2016や2019を長期的にサポート状態へ戻すものではありません。

CVE-2026-62913の更新プログラムを適用する手順

対象CUと適用するKBを確定する

最初にHealthCheckerまたはExSetup.exeで現在のビルドを確認し、次の対応関係からパッケージを選びます。

  • Exchange Server 2016 CU23：KB5121576
  • Exchange Server 2019 CU14：KB5121575
  • Exchange Server 2019 CU15：KB5121574
  • Exchange Server SE RTM：KB5121573

サーバーが複数台ある場合は、サーバーごとにCUが異なっていないかも確認してください。

バックアップと復旧手順を確認する

更新前には、少なくとも次の項目を確認します。

確認項目実務上の判断基準
Exchangeデータのバックアップ直近の正常なバックアップと復元手順を確認する
Active Directory正常性とバックアップ状況を確認する
保留中の再起動更新開始前に解消する
空きディスク容量Exchange、Windows、Temp領域に十分な空きがあることを確認する
DAG1台ずつメンテナンスモードにして更新する
ロードバランサー更新対象ノードへの新規接続を停止する
ハイブリッド構成空き時間情報、メール移行、共有メールボックスを事前確認する
サードパーティー製品バックアップ、監視、ウイルス対策製品との互換性を確認する

Microsoftは、更新前のテスト、動作確認済みバックアップの準備、DAGメンバーのメンテナンスモード移行、更新後の再起動を推奨しています。(Microsoft Learn)

更新ファイルを取得して検証する

製品・CU・言語に合う公式パッケージを取得します。2016・2019はESUの加入と入手方法を確認し、SEは対象KBのパッケージリンクを使用してください。ファイル名を検索して見つけた第三者配布ファイルを公式の代わりに使用する必要はありません。

MicrosoftのKBには、英語版パッケージのファイル名とSHA-256ハッシュ値が掲載されています。日本語版など別言語のパッケージを使用する場合は、追加言語用のハッシュ一覧と照合してください。(マイクロソフトサポート)

ダウンロードしたファイルは、PowerShellでハッシュとデジタル署名を確認できます。

Get-FileHash `
    .\Exchange2019-KB5121574-x64-en.exe `
    -Algorithm SHA256

Get-AuthenticodeSignature `
    .\Exchange2019-KB5121574-x64-en.exe

ハッシュ値は必ず、ダウンロードした言語とKBに対応する公式値と照合してください。別言語版や別CU向けパッケージのハッシュ値とは一致しません。

EXEパッケージを実行する

Microsoftは、手動インストールには自己展開型の.exeパッケージを推奨しています。EXE形式の更新プログラムは必要な権限を確認し、必要に応じて管理者権限への昇格を試みてから、内部のMSPパッケージを実行します。(マイクロソフトサポート)

保守対象のExchange Serverで、ダウンロードしたEXEファイルを実行し、画面の指示に従います。インストール中はExchangeサービスが停止または再起動されるため、メール配送やクライアント接続に影響する可能性があります。

自動展開で/passiveや/silentを使用する場合は、再起動が必要な状況でサーバーが自動再起動される可能性があります。稼働中のサーバーへ無計画に実行せず、DAG、監視、ロードバランサー、ジョブスケジューラーとの連携を確認してください。(マイクロソフトサポート)

更新後にサーバーを再起動する

インストーラーから明示的に求められない場合でも、更新後はサーバーを再起動します。Exchange Serverの更新では、サービス、レジストリ、読み込み済みモジュールなどを確実に更新後の状態へ切り替える必要があります。Microsoftも更新後の再起動を強く推奨しています。(マイクロソフトサポート)

すべてのExchange Serverへ適用する

複数台構成では、1台だけ更新して終了しないでください。Microsoftは、組織内のすべてのExchange Serverと、Exchange管理ツールのみをインストールしている端末にもSUを適用することを推奨しています。(Microsoft Learn)

DAG構成の場合は、次の流れで1台ずつ進めます。

  1. 更新対象ノードからアクティブデータベースを移動する
  2. ロードバランサーから対象ノードを外す
  3. DAGメンバーをメンテナンス状態にする
  4. 更新プログラムを適用する
  5. 再起動する
  6. ビルド、サービス、データベースコピーを確認する
  7. メンテナンス状態を解除する
  8. 次のノードへ進む

更新後に確認する項目

更新プログラムのインストール画面が正常終了しても、作業完了とは限りません。少なくとも、次の確認を行います。

修正済みビルドになっているか確認する

再起動後に、もう一度ExSetup.exeのバージョンを取得します。

Get-Command ExSetup.exe | ForEach-Object {
    $_.FileVersionInfo
} | Select-Object ProductVersion, FileVersion, FileName

結果が、実際に適用したSUの公式ビルドと一致していることを確認します。8月の修正済みビルドだけに固定して判定せず、同じ製品・CU向けの後続SUを含めて照合してください。

Exchangeサービスとキューを確認する

Test-ServiceHealth
Get-Queue

DAGを使用している場合は、データベースコピーの状態も確認します。

Get-MailboxDatabaseCopyStatus *

停止しているサービスが見つかっても、すべてを無条件に起動するのは避けてください。サーバーの役割、メンテナンスモード、監視設定などにより、意図的に停止している場合があります。

利用者目線の動作確認を行う

次の機能を実際に操作して確認します。

  • Outlookからの接続
  • OWAへのサインイン
  • Exchange管理センターへのアクセス
  • 組織内メールの送受信
  • 外部宛てメールの送受信
  • メールキューの滞留
  • モバイル端末からの接続
  • 公開予定表の参照
  • ハイブリッド環境の空き時間情報
  • Exchange Onlineへのメールボックス移行
  • 共有メールボックスの表示

最後にHealthCheckerを再実行し、更新不足や追加対応の警告が残っていないことを確認します。Microsoftの各KBでも、インストール後の確認にHealthCheckerを使用するよう案内されています。(マイクロソフトサポート)

2026年8月SUで確認されている既知の問題

8月SUを適用する場合は、そのKBに載る既知の問題を確認してください。後続SUでは解決済みの項目や追加された項目があるため、以下の8月SUの情報だけで9月SUの影響を判断しないでください。

この2つを混同しないことが重要です。

  • 脆弱性への対応：対象CUに対応する修正更新と最新情報を確認
  • 2026年8月SUに関連して案内されている既知の問題：あり

主な既知の問題は次のとおりです。

対象・利用機能既知の問題適用前後の確認
ハイブリッド環境の共有メールボックスラッパーメッセージが共有メールボックスに表示される場合がある代表的な共有メールボックスで表示を確認
公開予定表.icsへのアクセスでHTTP 500が返る場合がある外部の予定表アプリから購読を確認
Exchange SEのGraph APIのみを使用するハイブリッド構成委任されたメールボックスの空き時間情報取得に失敗する場合がある委任メールボックスの予定表を確認
Exchange OnlineへのMRS移行関係するサーバーの更新レベルが混在すると移行に失敗する場合がある移行に関係する全サーバーのSU水準を確認

共有メールボックスと公開予定表に関する問題は、Exchange Server 2016、2019、Subscription EditionのKBに掲載されています。Graph APIのみを使用するハイブリッド環境の空き時間情報に関する問題は、Subscription EditionのKBで案内されています。(マイクロソフトサポート)

8月SUの公開後には、MRSによるExchange Onlineへの移行でサーバー間のSU水準が混在する問題も案内されました。更新作業では移行に関係するサーバーを漏らさず確認してください。(Microsoft Exchange Teamの更新案内)

不具合が発生した場合も、最初から更新プログラムを削除するのは避けるべきです。SUをアンインストールすると、修正済みの脆弱性が再び存在する状態になる可能性があります。まず最新のKB、既知の問題、Microsoftが提示する修正手順を確認し、必要に応じてサポートへ問い合わせてください。(Microsoft Learn)

9月KBでは共有メールボックスのラッパーメッセージの問題が解決済みとして掲載されています。一方、公開予定表のHTTP 500などは既知の問題に残っています。SEにはGraph関連の修正と、引き続き確認が必要な項目もあります。実際に選ぶ9月SEのKBや各製品の9月KBを開き、利用している機能だけを対象に適用前後の試験を計画してください。

EXEの展開エラーが発生した場合

EXEパッケージの実行時に、次のようなパスへファイルを展開できないエラーが出ることがあります。

C:\Users\<USER>\AppData\Application\Temp\Exchangeserver.msp

Microsoftによると、ユーザープロファイル内のTempフォルダーが存在しない場合に発生することがあります。

次の場所を確認します。

C:\Users\<ユーザー名>\AppData\Application\

この配下にTempフォルダーが存在しない場合は作成し、更新プログラムを再実行します。EXE形式のインストーラーは、Exchangeの更新ログも自動生成するため、失敗時はExchangeのLogging\Update配下やイベントビューアーも確認してください。(マイクロソフトサポート)

CVE-2026-62913対応で管理者が次に行うこと

対応は、次の順番で進めると判断を誤りにくくなります。

  1. HealthCheckerまたはExSetup.exeで全Exchange Serverのビルドを確認する
  2. 製品とCUに一致するKBを選ぶ
  3. Exchange Server 2016または2019の場合はESUの加入状況を確認する
  4. バックアップ、DAG、ロードバランサー、保留中の再起動を確認する
  5. 公式KBから更新プログラムを取得し、ハッシュと署名を検証する
  6. 1台ずつ更新プログラムを適用して再起動する
  7. すべてのExchange Serverと管理ツール端末を同じ更新水準へそろえる
  8. 修正済みビルド、メール配送、OWA、予定表、ハイブリッド機能を確認する
  9. HealthCheckerを再実行する
  10. Exchange Server 2016または2019を使用している場合はSubscription Editionへの移行計画を進める

CVE-2026-62913を修正した8月SUを基準に、現在の製品・CU・SUを照合してください。これから適用する場合は後続SUの置き換え関係、ESUの入手条件、既知の問題も確認し、保守時間内に更新と機能検証を進めます。

まず現在のビルドを確認し、該当するKBを選定してください。そのうえで保守時間を確保し、更新、再起動、ビルド確認、機能テストまでを一連の作業として完了させることが重要です。

Microsoft
セキュリティ更新 Exchange Server 脆弱性対策 CVE-2026-62913

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次