CVE-2026-62915は、オンプレミスのMicrosoft Exchange Serverで、認証済みユーザーがメールアドインのインストール制限を回避できる脆弱性です。悪用されると、本来はRBACで禁止されている、より高いメールボックス権限を要求するアドインをインストールされる可能性があります。
結論として、設定変更だけでは十分な対策になりません。Exchange 2016 CU23にはKB5121576、Exchange 2019 CU14にはKB5121575、CU15にはKB5121574、Exchange Server Subscription EditionにはKB5121573を適用してください。2026年8月30日時点で、MSRCは実際の悪用と脆弱性情報の事前公開をいずれも確認していませんが、認証情報を窃取された一般ユーザーのアカウントが攻撃に使われる可能性を考慮し、早めの更新が必要です。(CVE)
CVE-2026-62915の概要
CVE-2026-62915は、Microsoft Exchange Serverにおける認可処理の不足により、メールアドインに対するセキュリティ制御が回避される脆弱性です。CWEでは「CWE-862：Missing Authorization」に分類されています。
CVSS v3.1の基本値は6.5で、ベクトルは次のとおりです。
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N各要素を実務的に読み替えると、次のようになります。
| 評価項目 | 内容 | 運用上の意味 |
|---|---|---|
| 攻撃元 | ネットワーク経由 | Exchangeに接続できる場所から攻撃される可能性がある |
| 攻撃の複雑さ | 低い | 特殊で不安定な条件を必要としない |
| 必要な権限 | 低い権限の認証済みユーザー | 管理者権限は不要だが、有効なアカウントが必要 |
| ユーザー操作 | 不要 | 別の利用者に添付ファイルを開かせる操作などを必要としない |
| 主な影響 | 完全性への高い影響 | 管理者が定めたアドインの権限制御を破られる可能性がある |
この脆弱性は、Exchange Server上で直ちに任意コードが実行されるRCEとして分類されているものではありません。ただし、管理者が意図したメールボックス権限の境界を破るため、CVSSの数値だけを見て後回しにするべきではありません。(CVE)
ExchangeメールアドインのRBAC回避で何が起きるのか
Exchangeでは、ユーザーがインストールできるメールアドインの種類や権限を、RBACの管理ロールによって制御できます。
代表的なユーザーロールは次の3つです。
| 管理ロール | 制御する内容 |
|---|---|
| My Marketplace Apps | Marketplaceから提供されるアドインの追加 |
| My Custom Apps | 組織独自またはカスタムアドインの追加 |
| My ReadWriteMailbox Apps | ReadWriteMailbox権限を要求するアドインの追加 |
特に重要なのが、My ReadWriteMailbox Appsです。このロールは、メールボックスの読み書きに関わる高い権限を要求するアドインをユーザーが追加できるかどうかを制御します。
組織によっては、情報漏えいやメール改変を防ぐため、これらのロールを一般ユーザーから削除しています。CVE-2026-62915が未修正の環境では、認証済みユーザーがその制限を回避し、管理者が許可していないアドインをインストールできる可能性があります。(Microsoft Learn)
想定される流れは次のとおりです。
- 攻撃者がフィッシングやパスワード漏えいなどで一般ユーザーの認証情報を入手する
- 侵害したアカウントでExchangeに認証する
- メールアドインのインストール要求を送信する
- 本来はRBACで拒否されるアドインが、認可処理の不備によって受け付けられる
- 高いメールボックス権限を要求するアドインが利用可能になる
ここで注意したいのは、攻撃者が最初からExchange管理者である必要はない点です。「認証済みユーザーが必要」という条件は安全を意味せず、メールアカウントが1件侵害されただけでも攻撃の起点になり得ると考える必要があります。
影響を受けるExchange Serverと修正KB
CVE-2026-62915の修正を含む2026年8月のセキュリティ更新プログラムは、Exchange ServerのCUごとに異なります。
| 対象製品 | 適用するKB | 更新名称 | 修正後のビルド |
|---|---|---|---|
| Exchange Server 2016 CU23 | KB5121576 | Exchange 2016 CU23 SU24 | 15.1.2507.72 |
| Exchange Server 2019 CU14 | KB5121575 | Exchange 2019 CU14 SU13 | 15.2.1544.44 |
| Exchange Server 2019 CU15 | KB5121574 | Exchange 2019 CU15 SU10 | 15.2.1748.49 |
| Exchange Server Subscription Edition RTM | KB5121573 | Exchange SE RTM SU9 | 15.2.2562.46 |
異なるCU向けのパッケージを流用することはできません。たとえばExchange 2019 CU14のサーバーに、CU15用のKB5121574を適用するのではなく、CU14用のKB5121575を使用します。(マイクロソフトサポート)
Exchange Onlineだけを利用している組織では、利用者側がこれらのオンプレミス用KBを適用する作業はありません。一方、Microsoft 365とのハイブリッド構成でオンプレミスのExchange Serverを残している場合は、メールボックスの大部分をクラウドへ移行済みでも、オンプレミス側のサーバーを確認してください。
更新を優先すべき環境
影響を受けるバージョンはすべて更新対象ですが、複数台を段階的に更新する場合は、次の環境を優先します。
- OWAやExchangeのWebサービスを外部から利用できる環境
- フィッシングやパスワードスプレーの痕跡が確認されている環境
- カスタムアドインやユーザー追加型アドインを利用している環境
- 役員、経理、人事、システム管理者など機密性の高いメールボックスを収容している環境
My ReadWriteMailbox Appsなどを意図的に削除し、アドインを厳しく制限している環境
最後の条件は一見すると安全に見えますが、この脆弱性が問題にしているのは、そのRBAC制限自体の回避です。ロールを削除していることは多層防御として有効でも、セキュリティ更新の代替にはなりません。
更新前に確認するポイント
Exchange Server Health Checkerを実行する
更新前に、Microsoftが公開しているExchange Server Health Checkerを最新版に更新して実行します。
Health Checkerでは、サーバーのバージョン、セキュリティ更新の状態、構成上の問題などを確認できます。更新前の結果を保存しておくと、更新後に差分を比較しやすくなります。Microsoftも2026年8月の更新案内で、Health Checkerを利用したExchange Serverの棚卸しを推奨しています。(GitHubのMicrosoft)
CUとSUの両方を確認する
次のコマンドはExchange ServerのCUを確認する際によく使われます。
Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersionただし、AdminDisplayVersionでは、後から適用したSUやHotfixの完全な状態を判別できない場合があります。CVE-2026-62915の修正確認には、Health CheckerまたはExSetup.exeのファイルバージョンを使用してください。
Get-Command ExSetup.exe | ForEach-Object {
$_.FileVersionInfo
}出力されたバージョンが、前述の修正後ビルド以上であることを確認します。(Microsoft Learn)
DAG構成では1台ずつ更新する
Database Availability Groupを使用している場合は、対象サーバーをメンテナンスモードに移行し、データベースやトランスポート処理を別ノードへ退避してから更新します。
すべてのノードを同時に停止せず、原則として次の順番で進めます。
- 対象ノードをメンテナンスモードにする
- データベースコピーとメールフローの状態を確認する
- セキュリティ更新を適用する
- 必要な再起動を行う
- 動作確認後、メンテナンスモードを解除する
- 次のノードへ進む
Microsoftも、DAGメンバーのソフトウェア保守前にはメンテナンスモードへ移行するよう案内しています。(Microsoft Learn)
CVE-2026-62915の修正プログラムを適用する手順
現在の状態を記録する
最初に、次の情報を記録します。
- Exchange Serverの製品とCU
- ExSetup.exeの完全なビルド番号
- 適用済みの最新SU
- DAGとデータベースコピーの状態
- Health Checkerの実行結果
- バックアップと復旧手順の確認結果
複数台ある場合は、サーバー名、CU、SU、対象KB、適用日時、担当者、結果を一覧表にして管理すると、未更新サーバーの見落としを防げます。
CUに一致するKBを選ぶ
次の対応を間違えないようにします。
Exchange 2016 CU23 → KB5121576
Exchange 2019 CU14 → KB5121575
Exchange 2019 CU15 → KB5121574
Exchange SE RTM → KB5121573ダウンロードしたファイル名にも、対象製品とKB番号が含まれています。ファイル名、デジタル署名、Microsoftが掲載しているハッシュ値を照合してから展開してください。
メンテナンス時間を確保して適用する
Exchangeのセキュリティ更新では、サービスの停止や再起動が発生します。単体構成では、その間メールクライアントから接続できなくなる可能性があります。
管理者権限で更新を実行し、画面に表示される処理が完了するまで、Exchange関連サービスを手動で開始したり、インストーラーを強制終了したりしないでください。再起動を求められた場合は、延期せず計画したメンテナンス時間内に実施します。
更新後のビルドを確認する
再起動後、再度ExSetup.exeのバージョンを確認します。
Get-Command ExSetup.exe | ForEach-Object {
$_.FileVersionInfo
}確認すべき値は次のとおりです。
Exchange 2016 CU23 : 15.1.2507.72以上
Exchange 2019 CU14 : 15.2.1544.44以上
Exchange 2019 CU15 : 15.2.1748.49以上
Exchange SE RTM : 15.2.2562.46以上Windowsの「更新履歴」にKB番号が表示されているだけで完了と判断せず、Exchange側の実ビルドまで確認することが重要です。(Microsoft Learn)
更新後に実施する動作確認
セキュリティ更新のインストール成功と、Exchangeサービスの正常稼働は別々に確認します。
基本的な確認には、次のコマンドを利用できます。
Test-ServiceHealth
Test-MailflowDAG環境では、データベースコピーの状態も確認します。
Get-MailboxDatabaseCopyStatus *コマンドだけでなく、実際の利用経路でも確認してください。
- OutlookまたはOWAへのサインイン
- 組織内メールの送受信
- 外部宛てメールの送信
- 外部からのメール受信
- 共有メールボックスへのアクセス
- 予定表と空き時間情報の表示
- モバイル端末からの接続
- 利用中のメールアドインの起動
- ハイブリッド構成でのクラウドとオンプレミス間の動作
最後にHealth Checkerを再実行し、該当するセキュリティ更新が未適用として検出されないことを確認します。
不審なメールアドインがないか確認する
セキュリティ更新は、脆弱な認可処理を修正するものです。適用前に不正なアドインが追加されていなかったことまで自動的に証明するものではありません。
認証情報の漏えいが疑われる場合や、更新が長期間遅れていた場合は、組織全体とユーザー単位の両方でアドインを確認します。
組織全体に配布されたアドインを確認する
Get-App -OrganizationApp |
Format-List DisplayName,AppId表示されたアドインを、組織で承認済みのアドイン一覧と照合します。名称だけでは判断せず、AppIdも比較してください。
特定ユーザーが追加したアドインを確認する
Get-App -Mailbox [email protected]優先して確認する対象は次のとおりです。
- 不審なサインインが確認されたユーザー
- フィッシングメールに認証情報を入力した可能性があるユーザー
- 管理者、役員、経理、人事部門のメールボックス
- 本人が追加した覚えのないアドインが表示されているユーザー
- メールの既読化や変更など、不自然な挙動を申告しているユーザー
組織配布のアドインとユーザー単位のアドインは、同じ確認方法だけでは網羅できません。両方の表示結果を確認し、不明なアドインが見つかった場合は、直ちに無効化または削除するのではなく、AppId、追加日時、対象ユーザー、要求権限などの証拠を保全したうえで、組織のインシデント対応手順に従ってください。(Microsoft Learn)
メールアドインのRBAC割り当ても再確認する
更新後は、メールアドインに関係する管理ロールが、意図したユーザーだけに割り当てられているか確認します。
Get-ManagementRoleAssignment `
-Role "My ReadWriteMailbox Apps" `
-GetEffectiveUsersGet-ManagementRoleAssignment `
-Role "My Custom Apps" `
-GetEffectiveUsersGet-ManagementRoleAssignment `
-Role "My Marketplace Apps" `
-GetEffectiveUsers特にMy ReadWriteMailbox Appsが一般ユーザーへ広く割り当てられている場合は、業務上必要かを見直します。
ただし、ロールを削除すればCVE-2026-62915を修正できるわけではありません。RBACの見直しは、あくまで更新プログラム適用後の多層防御として実施します。(Microsoft Learn)
2026年8月のExchange更新で確認すべき既知の問題
Microsoftは、各KBのページで現在確認されている問題を掲載しています。利用している機能に該当する場合は、更新前後のテスト項目へ追加してください。
| 構成・機能 | 確認する問題 |
|---|---|
| Exchange 2016・2019のハイブリッド構成 | 共有メールボックスでラッパーメッセージが表示される問題 |
| 公開予定表 | 公開したICSへのアクセスでHTTP 500が返る問題 |
| Exchange SEのGraph API専用ハイブリッド | 委任されたメールボックスの空き時間情報を取得できない問題 |
これらは、Microsoftが2026年8月のKBページに掲載している既知の問題です。CVE-2026-62915を放置する理由にはせず、該当機能の事前テスト、回避策、利用部門への周知を含めて更新計画を作成してください。(マイクロソフトサポート)
Exchange 2016・2019では移行計画も必要
Exchange Server 2016とExchange Server 2019は、通常サポート終了後の段階にあります。Microsoftの2026年8月のKB情報では、対象となるExtended Security Updateの契約組織について、2026年10月末まで更新を受け取れると案内されています。
今回のKBを適用しても、Exchange 2016または2019を長期運用できる状態に戻るわけではありません。次の作業を並行して進める必要があります。
- ESUの契約状況と更新入手条件を確認する
- Exchange Server Subscription Editionへの移行日程を決める
- ハイブリッド構成、コネクタ、証明書、名前空間を棚卸しする
- 古いExchange Serverを管理目的だけで残していないか確認する
- 移行後の廃止手順とロールバック条件を文書化する
Exchange 2016・2019を利用している場合、KB5121576またはKB5121575・KB5121574の適用は当面の脆弱性対策であり、Subscription Editionへの移行が中長期の対策です。(マイクロソフトサポート)
CVE-2026-62915への対応で今日実施すること
CVE-2026-62915は、メール停止を直接引き起こすタイプではなく、管理者が設定したメールアドインの権限制御を破る脆弱性です。そのため、障害が起きていないことを理由に放置すると、アカウント侵害後の被害拡大を許す可能性があります。
まずHealth CheckerとExSetup.exeのバージョンで全Exchange Serverを棚卸しし、CUに一致するKBを適用してください。更新後は修正済みビルドへの移行を確認し、メールフロー、DAG、OWA、共有メールボックス、ハイブリッド機能をテストします。
さらに、組織全体とユーザー単位のメールアドイン、My ReadWriteMailbox AppsなどのRBAC割り当てを確認してください。Exchange 2016または2019を利用している場合は、今回の更新作業と同時にExchange Server Subscription Editionへの移行計画を具体化することが、次の脆弱性に備える現実的な対応になります。
コメント