Microsoft Exchange Serverに緊急脆弱性CVE-2026-42897、OWAで任意JavaScript実行のなりすまし攻撃を確認

「うちのExchange Server、まだオンプレで動かしているけど大丈夫だろうか？」
「OWAって攻撃の入り口になりやすいと聞くが、具体的に何が危ないのだろう？」

チップス

ボス、また怖いExchangeのニュースが出てましたよぉ。Outlook Web Accessってウチでも使ってるんでしゅが、メールを開いただけで乗っ取られたりするんでしゅか？

ボス

ふふふ、いいところに気づいたな。Exchangeの「CVE-2026-42897」というやつだ。CVSS 8.1の「緊急」評価で、しかもすでに悪用が確認されている。オンプレ運用の組織は今すぐ手を打つべき案件だな。

本記事では、最新のExchange Server脆弱性の概要と、日本企業がいま取るべき対応をやさしく整理します。
OWAを社外公開している組織や、メールサーバーをオンプレで運用するシステム担当者の方に役立つ内容です。

読み終えるころには、組織がこの脆弱性に対していま打つべき優先順位の高い対応が見えてくるはずです。

Exchange Server 3エディションを直撃したXSS脆弱性

まずはマイクロソフトが緊急扱いで公開した「CVE-2026-42897」の全体像を押さえます。

CVSS 8.1「緊急」評価、影響対象は最新CUを含む

マイクロソフトは2026年5月14日（米国時間）にExchange Serverのセキュリティアドバイザリを公開しました。
本脆弱性はクロスサイトスクリプティング（XSS）に起因するなりすまし型で、CVSSv3.1のベーススコアは8.1、深刻度は最高ランクの「緊急」に位置付けられています。
影響対象は最新のCUを含む3エディションで、サポート切れではない現役製品です。

修正プログラムは準備中、悪用はすでに観測

マイクロソフトは「すでに悪用が確認されている」と明言し、修正プログラムの提供に向けて準備を急いでいると説明しています。
パッチがそろう前から攻撃者は動いており、米CISAがKEVカタログに追加する可能性も高い情勢です。
詳細はSecurity NEXTの報道で時系列が整理されています。

チップス

ふぇ、ウチも2019のCU15だったような…！攻撃グループってもう動いてるんでしゅか？

ボス

残念ながら野放しの悪用が観測されている。パッチを待つ間でも防御の手を緩めない姿勢が必要だな。

OWA経由のなりすまし攻撃を可能にする仕組み

次に、攻撃者が何をどう悪用しているのかを技術面から整理します。

細工メールをOWAで開くと任意JavaScriptが動作

本脆弱性は、Outlook Web Access（OWA）で細工メールを開いた利用者が一定の操作を行うと、ブラウザ上で任意のJavaScriptが走る仕様です。
結果として攻撃者は被害者のメールセッションを奪い、メール本文の閲覧やなりすまし送信を実現します。
OWAは社外からのアクセスを許可している組織が多く、標的メールを送るだけで侵入の足場が作られるため、攻撃成功率の高い構造になっています。

修正プログラム提供前にすべき暫定対応

パッチが届くまでの間は、組織側の暫定対応が鍵になります。
まずOWAの社外公開範囲を見直し、認証強化と多要素認証の徹底を急ぎます。
あわせてメール添付と本文の不審活動を検知するEDR・XDRの監視ルールを引き上げ、外部からの不自然なJavaScript実行兆候をログから拾えるよう備えておきます。
パッチ公開後は検証環境への適用ステップを短縮できるよう、運用手順を事前に整えておくと安心です。

チップス

OWAを社外に出してるだけで攻撃の入り口になるなんて、メールサーバーってすごく狙われやすいんでしゅね…。

ボス

その通りだ。利便性と引き換えのリスクを正しく天秤にかける視点こそ、いまの管理者に求められる姿勢だな。

まとめ

CVE-2026-42897はオンプレ運用のExchange Serverを抱える組織にとって、即時の対応判断が求められる脆弱性です。
パッチが届くまではOWA公開範囲の見直しと監視強化で攻撃の窓口を狭めるのが現実解です。
セキュリティ運用の手数が足りない現場では、即戦力のフリーランス専門家を一時的に確保する選択肢も検討する価値があります。