CVE-2026-42897がメールアーキテクチャに警鐘を鳴らす理由

2026年5月14日、MicrosoftはCVE-2026-42897を公開しました。これはMicrosoft Exchange Serverにおいて、実際に悪用されている重大なクロスサイトスクリプティング脆弱性です。CVSS 8.1。Exchange Server 2016、Exchange Server 2019、Exchange Server Subscription Editionが影響を受けます。Exchange Onlineは影響を受けません。

主なポイント

1. 5年間で19件のExchange CVE。 CISAの既知の悪用脆弱性カタログには、Microsoft Exchangeの脆弱性がほぼ20件掲載されています。そのうち14件がランサムウェア攻撃に利用されました。これは偶然ではなく、明確なパターンです。
2. パッチ問題こそが最大の課題。 Microsoftは2026年5月14日に実際の悪用を確認しましたが、恒久的なパッチは存在しません。顧客は一時的な緩和策のみ利用可能で、CISAは5月29日までの適用期限を設けています。
3. サポート終了が事態を悪化。 Exchange Server 2016および2019は2025年10月14日にサポート終了となりました。2026年以降も利用する顧客は、Period 2拡張セキュリティ更新プログラムを通じてのみパッチを受け取れます。
4. OWAが攻撃の弱点。 この脆弱性は、Outlook Web Accessで細工されたメールを開いたときに発動します。ブロックすべき悪意のあるリンクも、検知すべきペイロードもありません。メール自体が攻撃手段です。
5. アーキテクチャの問いがパッチ以上に重要。 メールは依然として、機密な外部データ交換の最も集中的なチャネルです。5年間で19件のCVEが発生した今、問うべきは「どれだけ早く緩和できるか」ではなく、「機密コンテンツをこのインフラ上に置くべきかどうか」です。

今回の公開は異例でした。Microsoftの2026年5月のPatch Tuesdayは、そのわずか48時間前に137件の脆弱性を修正し、ゼロデイはありませんでした。その直後に本件が発生――臨時公開で恒久パッチはなく、Exchange Emergency Mitigation ServiceまたはExchange On-premises Mitigation Toolによる一時的な緩和策のみです。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は5月15日、この脆弱性を既知の悪用脆弱性カタログに追加しました。連邦政府の行政機関には、5月29日まで――14日間――に緩和策を適用するよう指示が出されました。

この期限設定が、緊急性の全てを物語っています。CISAが理論上のリスクに14日間の強制措置を出すことはありません。

実際の攻撃手法

攻撃の仕組みは一見シンプルです。攻撃者が特別に細工したメールを送信し、ユーザーがOutlook Web Access（ブラウザベースのExchangeクライアント）で開きます。「特定の操作条件下」で、Microsoftが詳細を公開していないものの、任意のJavaScriptがブラウザ上で実行されます。その後、スプーフィングやセッションの乗っ取りが発生します。

この攻撃が危険なのは、従来の攻撃チェーンにあるはずの要素が欠落している点です。ゲートウェイでフィルタリングすべき悪意のあるリンクも、サンドボックスで検知すべき添付ファイルも、サーバー上で検知すべきWebシェルもありません。ペイロードはメールそのものであり、侵害はExchangeホストではなく、ユーザーのブラウザセッション内で発生します。

この違いが、多くの防御策を無力化します。セキュリティチームはWebシェルや不審なIISプロセス、異常な外部通信を監視する訓練を受けていますが、この攻撃はブラウザ側の侵害が後続の活動を可能にするまで気づくことができません。その時点で既にセッションは乗っ取られ、OWA上で被害者の権限で操作が行われ、攻撃者は被害者と同じアクセス権を得ています。

Microsoftが公開した緩和策にも課題があります。適用すると、OWAのカレンダー印刷機能が使えなくなり、受信者の閲覧ウィンドウでインライン画像が表示されない場合があり、OWAライトも利用できません。ユーザーは違和感を覚え、ヘルプデスクへの問い合わせが増加します。

2021年に始まり今も続くパターン

CVE-2026-42897は一過性のものではありません。これは2021年3月のProxyLogonから始まり、今も続く5年間の流れの最新事例です。

ProxyLogon（CVE-2021-26855および関連する3つのCVE）は、KrebsOnSecurityによれば米国内で少なくとも3万組織が侵害され、Tenableは1週間で全世界6万組織以上と推定しました。最初にHafnium APTが標的とし、その後金銭目的のランサムウェア攻撃者が続きました。4か月後にはProxyShellが登場し、少なくとも3万台のサーバーが認証不要のリモートコード実行チェーンに脆弱でした。2022年のProxyNotShellでは、Microsoftの以前のパッチでも根本原因が解消されていないことが示され、パス混乱の脆弱性が依然として悪用可能でした。

このパターンは明確です：脆弱性の公開、急ごしらえの緩和策、部分的なパッチ、長期的な露出、そしてその後何年にもわたるランサムウェアやデータ窃取への悪用。CISAのKEVカタログには19件のExchange Server脆弱性が掲載され、そのうち14件がランサムウェアキャンペーンで観測されています。

5月の公開から2日後、DEVCOREのOrange Tsai――ProxyLogonの共同発見者でProxyShellの発見者――は、Pwn2Own Berlin 2026でさらに3つのExchangeバグを連鎖させ、SYSTEM権限でのリモートコード実行を達成しました。賞金20万ドル。さらに3件のExchange脆弱性に90日間の公開猶予が設定されました。

Exchangeの攻撃対象領域は、枯渇する気配がありません。

サポート終了の衝突

2026年に本当に新しいのは、最も広く使われているバージョンのパッチライフサイクルが尽きたことです。Exchange Server 2016および2019は2025年10月14日にサポート終了となりました。それ以降は、拡張セキュリティ更新プログラム（ESU）に加入している顧客のみがセキュリティアップデートを受け取れます――しかも加入期間中のみです。

CVE-2026-42897について、Microsoftは明確にしています：Exchange SEは公開セキュリティアップデートを受け取りますが、Exchange 2016および2019の修正はPeriod 2 ESUプログラム加入者のみが対象です。Period 1 ESUは2026年4月で終了しました。Period 2未加入の組織は修正を受け取れません。

The Shadowserver Foundationは、2025年末時点で約2万～3万台のサポート終了Exchangeサーバーがパブリックインターネット上に公開されていると推定しています。この数は減少傾向にあるものの依然として多く、特にデータレジデンシー要件やエアギャップネットワーク方針によりExchange Onlineへの移行ができない規制業界に集中しています。

その結果、最もExchangeの安全性を必要とする顧客が、同時に最もリスクにさらされる状況となっています。

なぜメールがリスクスタックの中心なのか

これらのExchange脆弱性がランサムウェアやデータ窃取を生み続ける理由は構造的です。メールは、組織を離れた機密コンテンツが存在する場所だからです。

Kiteworks Data Security and Compliance Risk: 2026 Forecast Reportは、従来型のファイル共有やマネージドファイル転送インフラが「きめ細かなアクセス制御、リアルタイムDLP、ゼロトラストアーキテクチャ、証拠品質の監査証跡、AI対応のポリシー適用」を欠いていると指摘しています。同じことが、現代の脅威環境以前に設計されたオンプレミスメールインフラにも、より強く当てはまります。

外部データもこの状況を裏付けています。CrowdStrike 2026 Global Threat Reportでは、AIを活用した攻撃者の活動が前年比89%増加し、Microsoft 365やEntra IDに対する中間者型フィッシングが主要なアクセスパターンとなったと報告されています。また、2025年の検知の82%がマルウェア非依存であり、攻撃者はドロッパーではなくIDの悪用やセッション窃取、正規ツールを利用していることが明らかになっています。

WEF Global Cybersecurity Outlook 2026では、AIの脆弱性が2026年のCEOにとって第2位のサイバーリスクとなり、ランサムウェアを上回ったとされています。同レポートは、サイバー詐欺やフィッシングが最も大きな脅威であることも示しています。

メールを起点とする攻撃チェーンは、これら3つの懸念が交差する場所です。CVE-2026-42897は、その最新の実例です。

CVEの背後にあるアーキテクチャの問い

この5年間で3件目、4件目の重大なExchange CVEが発生した時点で、問うべき運用上の問いは「どれだけ早くパッチを適用できるか」ではなくなりました。真の問いはアーキテクチャです――5年間で19件もの悪用脆弱性を生み出したインフラで、機密性の高い規制対象コンテンツを流し続けるべきでしょうか？

Microsoftの推奨はExchange Onlineへの移行です。これは一部の組織には有効ですが、標準的なクラウド導入が禁止されているデータレジデンシー要件のある組織、CMMC 2.0下で制御されていない分類情報を扱う防衛請負業者、特定のHIPAA構成を持つ医療機関、規制上のレジデンシー義務を負う金融機関、FedRAMP Highが必要な連邦機関には適用できません。こうした顧客にとって、Exchange Onlineやその政府クラウド版は必ずしも現実的な選択肢ではありません。

2026 Forecast Reportは、このギャップをコントロールプレーンの欠如と位置付けています。現代の脅威環境に対応していないインフラでAIワークロードや機密データ交換を運用しているという問題です。レポートは明確に指摘します：「データ交換技術の近代化はオプションではなく、サプライチェーンセキュリティの要件である。」

CVE-2026-42897はメールアーキテクチャを再考する唯一の理由ではありません。最新の理由です。理由は積み重なっています。

Kiteworksのアプローチ：機密データ交換のための分離アーキテクチャ

5年間にわたるメールサーバーCVEのパターンに対するアーキテクチャ上の回答は、パッチ適用の迅速化ではありません。これらCVEを生み出すインフラから、機密な外部データ交換を切り離すことです。

Kiteworks Secure Emailは、WAFやネットワークファイアウォール、侵入検知を組み込んだ強化された仮想アプライアンス上で稼働します。シングルテナント分離により、他の顧客とインフラを共有せず、クロステナントの攻撃対象領域がありません。FIPS 140-3認証済み暗号化でデータの転送中・保存中を保護します。コードベースはExchangeとは根本的に異なり、MicrosoftのIIS/ExchangeスタックのCVEがKiteworksに波及することはありません。

アーキテクチャ上の前例もあります。Log4Shellが業界を襲った際、Kiteworksの多層防御（Defense in Depth）によって、プラットフォーム内での実質的な影響はCVSS 4にまで低減されました。これは単なる1つのCVEに関するマーケティング主張ではなく、同じ多層防御の原則をメールレイヤーに適用したものです。

運用面では、Kiteworks Secure EmailはExchange OnlineやM365と並行して稼働し、一般的な社内メールの代替ではありません。最も重要なトラフィック――規制文書、機密パートナー通信、保護データを含む外部添付ファイル――はKiteworks経由で処理されます。日常的な社内メールは従来通りです。2つのシステム、2つの脅威モデル、重要なコンテンツのための統合監査ログ。

このアーキテクチャパターンこそ、5年間で19件のExchange CVEが業界に教えるべきだった教訓です。CVE-2026-42897は、その最新の警鐘に過ぎません。

今、組織が取るべき行動

まず、Microsoftの緩和策を直ちに適用してください。 オンプレミスのExchange Server 2016、2019、またはSubscription Editionを運用している場合、Exchange Emergency Mitigation Serviceはデフォルトで有効化されています。必ず確認してください。Exchange Health Checkerスクリプトを実行し、M2.1.x緩和策が適用済みか確認しましょう。エアギャップ環境では、Exchange On-premises Mitigation ToolをCVE-2026-42897パラメータ付きで使用してください。

次に、拡張セキュリティ更新プログラム（ESU）への加入状況を確認してください。 Period 1 ESUは2026年4月で終了しました。Period 2への加入が、Exchange 2016および2019サーバーが将来的に恒久パッチを受け取れるかどうかを左右します。未加入かつ移行できない場合、ここが最も緊急のギャップです。

三番目に、どの機密データがインターネットに公開されたExchange OWAを経由しているか監査してください。 Kiteworks 2026 Forecast Reportのデータは、この点の重要性を強調しています：「表明されたコンプライアンス」と「証明可能なコントロール」のギャップは、従来型インフラで規制コンテンツを扱う環境で最も急速に拡大します。OWA経由で流通しているものを棚卸しし、本来流すべきでないものを特定しましょう。

四番目に、機密データ交換が5年間で19件のKEV掲載脆弱性を生み出したインフラ上に存在すべきか評価してください。 これがアーキテクチャ上の問いです。Kiteworks 2026 Forecast Reportによれば、機密データ交換を単一の強化プラットフォームに集約した組織は、パッチサイクルの露出と監査準備時間の両方を削減しています。このアーキテクチャ転換は半年がかりのプロジェクトではありません。リスク低減は即時に得られます。

五番目に、次のCVEに備えて計画を立ててください。 Orange TsaiによるPwn2Own Berlinの3件のExchangeバグは、90日間のベンダー公開猶予中です。2026年8月までにさらなる勧告が出るでしょう。このパターンは続きます。次の緊急公開の後ではなく、今こそアーキテクチャ上の対応を計画しましょう。

ProxyLogon、ProxyShell、ProxyNotShellで最小限の被害で済んだ顧客は、既に最も機密性の高いデータ交換を影響を受けるインフラから移行していた組織でした。CVE-2026-42897は、その教訓を再び適用すべきタイミングです。