Microsoft Exchange Serverに権限昇格の脆弱性、同一組織内のメール閲覧の恐れで定例外パッチを公開

要点

• 米Microsoftは、Exchange Serverにおいて認証済みの攻撃者が他者のメールボックスを不正閲覧できる脆弱性（CVE-2026-96940）を修正する定例外の更新プログラムを公開した。

• 本脆弱性は深刻度を示すCVSSスコアで8.8と評価されており、悪用されると同一組織内のメール本文や添付ファイルが読み取られる恐れがある。

• クラウド版のExchange Onlineではサーバー側で修正が完了しておりユーザー側の対応は不要だが、オンプレミス版の対象バージョンではパッチ適用が必要となる。

• 現時点で実際の攻撃における悪用は確認されていないものの、同社は悪用の可能性が高いと評価し、迅速な対策を促している。

• 米Microsoftは2026年10月2日（現地時間）、電子メールサーバー製品「Microsoft Exchange Server」に高深刻度の脆弱性が存在することを公表し、定例外のセキュリティ更新プログラムをリリースした。

• 同社が公開したアドバイザリによると、本脆弱性が悪用された場合、ネットワーク経由で認証を受けた攻撃者によって権限昇格が行われ、同一組織に属する他のユーザーのメールボックスへ不正にアクセスされる危険性があるという。脆弱性には識別番号「CVE-2026-96940」が割り当てられており、脆弱性の深刻度を0から10の数値で評価する共通脆弱性評価システム（CVSS）のスコアは「8.8」と算出されている。

脆弱性の仕組みと想定される被害

今回公表された脆弱性は、Microsoft Exchange Serverにおける認可（ユーザーの権限に応じてデータへのアクセスを制御する仕組み）処理の不備に起因するものである。

Microsoftの説明によれば、攻撃者がネットワーク経由でサーバーに対する有効な認証情報をすでに保持している場合、この認可の弱点を突いて自身のアクセス権限を昇格させることが可能になるという。この権限昇格が発生すると、攻撃者は本来参照権限を持たないはずの、同一組織内に存在する他のユーザーのメールボックスに侵入できるようになる。

侵入に成功した攻撃者は、対象となったメールボックス内に保存されている電子メールのメッセージ本文だけでなく、添付ファイルについても自由に閲覧・読み取ることが可能になるとされている。

一方でMicrosoftは、この脆弱性による影響範囲について一定の限定性があることも明らかにしている。具体的には、本欠陥を悪用したとしても、異なる組織（テナント）のデータに境界を越えて不正アクセスする「クロス・テナント」の侵入は行えない仕様となっていると説明している。

クラウド版とオンプレミス版での対応状況

本脆弱性に対する修正対応については、運用形態によって対応の要否が分かれている。

クラウドベースで提供されている「Exchange Online」に関しては、Microsoftがサービス側の基盤に対して関連する修正プログラムをすでに適用済みであるという。そのため、Exchange Onlineを利用している組織やユーザーが個別に設定変更やアップデート作業などの対応を行う必要はないとアナウンスされている。

これに対し、自社設備内にサーバーを設置・運用するオンプレミス環境のMicrosoft Exchange Serverを利用している組織では、提供されているセキュリティ更新プログラムを手動でインストールする必要がある。影響を受けることが確認されているオンプレミス製品のバージョンは以下のとおりである。

• Microsoft Exchange Server Subscription Edition RTM
• Microsoft Exchange Server 2016 Cumulative Update 23
• Microsoft Exchange Server 2019 Cumulative Update 15
• Microsoft Exchange Server 2019 Cumulative Update 14

これらを利用中のシステム管理者に対しては、システムを安全に維持するため、速やかに更新プログラムを適用することが推奨されている。

発見の経緯と悪用リスクの評価

今回の脆弱性「CVE-2026-96940」は、Microsoftに所属するセキュリティ研究者のJan Mitchell氏によって発見され、同社に報告された。

Microsoftの報告によると、アドバイザリの公開時点において、本脆弱性を悪用した攻撃コードが兵器化されたり、実際のサイバー攻撃（In the Wild）において悪用されたりした証拠は確認されていないという。しかしながら、同社が独自に設定している悪用可能性の評価指標（Exploitability Assessment）においては、「悪用の可能性が高い（Exploitation More Likely）」という判定が下されている。

攻撃手法が確立された場合には容易に悪用される恐れがあることから、同社は対象となるオンプレミス環境のユーザーに対し、警戒を怠らず速やかにセキュリティパッチを適用して防護策を講じるよう強く求めている。

関連する脅威動向

なお、今回のExchange Serverに関する脆弱性の開示が行われる直前には、マイクロソフト製品を狙った別のサイバー攻撃の動きも報告されていた。

Broadcom傘下のセキュリティ企業であるSymantecは、中国との関連が指摘されている脅威アクター「Warlock」に関する警告を発表している。同アクターは、コラボレーションプラットフォーム「Microsoft SharePoint」に存在する複数の脆弱性を悪用し、ポルトガル語圏およびスペイン語圏の組織を標的として、グループと同名のランサムウェアを展開する攻撃を行っていると報告されている。