【ITニュース解説】21,899 Exposed Exchange Servers and a Certified Pre-Auth Route to SYSTEM

今回のニュースは、インターネットに接続されたMicrosoft Exchange Serverに存在する非常に深刻な脆弱性について警鐘を鳴らすものだ。この脆弱性、CVE-2026-62911は、Exchange Serverの特定のバージョン、具体的には2016、2019、およびSEの8.0と8.1リリースラインに影響を及ぼす。問題の根源は、認証を回避して、最終的にはサーバー全体を完全に制御できてしまう「SYSTEMレベルのリモートコード実行」が可能になるという点にある。2026年9月時点で、驚くべきことに約21,899台ものExchangeサーバーがまだこの脆弱性に対する修正パッチが適用されておらず、インターネットに公開されたままになっている。

この脆弱性の中心にあるのは、「MRSProxy」と呼ばれるExchangeのコンポーネントだ。MRSProxyは、異なる組織やシステム間でメールボックスを移動させる際に利用される機能で、リモートからの要求に基づいて特権的な操作を実行する。しかし、このコンポーネントのエンドポイントに存在する欠陥により、本来であれば厳格な認証プロセスを通過しなければならないリモートからの要求が、まるで正しく認証されたかのように扱われてしまう「認証バイパス」が発生する。これにより、攻撃者は認証なしでシステムにアクセスできてしまうのだ。

単なる認証バイパスだけでも、サーバー上のデータに不正アクセスされる可能性があるため十分に危険だ。しかし、今回の脆弱性の真の深刻さは、この認証バイパスが「SYSTEMレベルのリモートコード実行」につながる点にある。SYSTEMレベルとは、Windowsオペレーティングシステムにおいて最も高い権限を意味し、サーバーのOSやアプリケーションのファイル、設定など、あらゆるものを完全に制御できてしまう状態を指す。これは、攻撃者がサーバー上で任意のプログラムを実行したり、データを改ざん・削除したり、あるいは他のシステムへの足がかりにしたりできることを意味する。さらに、Exchangeサーバーは、ユーザー情報や組織の構造を管理する「Active Directory」のようなIDインフラストラクチャと密接に連携しており、通常はメールボックスの操作に必要な広範なディレクトリ権限を持っている。そのため、ExchangeサーバーがSYSTEMレベルで侵害されると、組織全体のActive Directoryが危険にさらされ、ひいては組織全体の情報システムに壊滅的な影響が及ぶ可能性があるのだ。

この一連の攻撃手法は、セキュリティコンテスト「Pwn2Own」で実際に実演され、その後、攻撃の再現を可能にする「Proof of Concept（PoC）」コード、つまり検証コードも公開されている。オランダの国家サイバーセキュリティセンターは、この脆弱性を「容易に武器化可能で複雑性が低い」と評価しており、これは攻撃者が少ない労力でこの脆弱性を悪用できることを示している。公開されたエクスプロイトコードが存在するため、攻撃者は技術的な知識が少なくても、この脆弱性を利用してシステムに侵入する可能性がある。

これほどの深刻な脆弱性にもかかわらず、なぜ多くのExchangeサーバーが未パッチのままになっているのだろうか。その背景には、いくつかの課題がある。まず、Exchange Server 2016は既に「End of Life（EOL）」、つまりマイクロソフトによる公式サポート期間が終了している。パッチが提供されるのは、特別な「延長セキュリティアップデート」の契約者のみであり、多くの企業は追加費用を支払わない限り、もはや公式な修正を受けられない状況にある。Exchange Server 2019やSEについては、2026年8月のアップデートで修正パッチ（KB5121573〜KB5121576）が提供されているにもかかわらず、パッチ適用が遅れているサーバーが多数存在している。

これは、メールサーバーの脆弱性管理において頻繁に見られる問題だ。メールサービスはビジネス運営において不可欠な「基幹業務システム」であり、その停止は事業に大きな影響を与えるため、システム変更作業を行う「変更ウィンドウ」が非常に限られている。また、複数の役割を持つ複雑な構成（トポロジー）も一般的であり、パッチ適用前のテストや検証に時間がかかる。こうした理由から、パッチ適用が後回しにされがちで、リリースごとに同じサーバーが脆弱性のある状態でインターネットに公開され続けてしまうのだ。高い露出度、公開されたエクスプロイトコード、そして攻撃の複雑性が低いという三拍子が揃うと、たとえ脆弱性の深刻度スコアがどうあれ、極めて緊急性の高いリスクとなる。

このような状況で、システム管理者やセキュリティ担当者はどのような防御策を講じるべきだろうか。

まず最も重要なのは、パッチの適用だ。サポートされているバージョンのExchange Serverを使っている場合、利用可能な最新のセキュリティパッチを速やかに適用し、サーバーのビルドバージョンが正しく更新されていることを確認する。

次に、サポート対象外であったり、すぐにパッチを適用できない場合でも、サーバーを保護するための「封じ込め」戦略が不可欠だ。MRSProxyエンドポイントは、通常、インターネット上の任意の送信元アドレスから直接アクセスされる必要はほとんどない。そのため、このエンドポイントへの直接的なインターネットからのアクセスを制限することが重要だ。具体的には、外部からのアクセスは「証明書対応のプロキシ」や「認証付きのVPN（Virtual Private Network）」を経由させるように設定し、不正なアクセスを水際で防ぐ。プロキシやVPNは、中間で通信を監視・フィルタリングし、正規の利用者だけがサーバーにアクセスできるようにする仕組みだ。

さらに、検出能力の強化も重要となる。MRSProxyエンドポイントでの不審な活動を監視し、異常を検知した際にはすぐにアラートを発する体制を構築する。例えば、対応するディレクトリログオン記録がないのにMRSProxyへの認証が成功した場合や、これまでのメールボックス利用履歴がない送信元IPアドレスからMRSProxyへのリクエストがあった場合、あるいはExchangeサービスアカウントの権限下で新たなプロセスが作成された場合などは、異常の兆候としてアラートを出すべきだ。Exchangeサーバー自身のログやWindowsのセキュリティイベントログには、こうした異常を検出するための十分な情報が含まれており、特別なツールを追加しなくても監視体制を構築できる。

万が一、サーバーがインターネットに公開されたままになっている場合、攻撃者によって既に「クレデンシャル（認証情報）」が侵害されている可能性を前提に行動する必要がある。Exchangeサーバーは、サービスアカウントの秘密情報やメールボックスのデータにアクセスできる。SYSTEMレベルの侵害は、そのサーバー上に保存されているあらゆる秘密情報、そしてサーバーがActive Directoryから読み取れる全ての情報が漏洩したことを意味する。そのため、サービスアカウントのパスワードをローテーションしたり、メールの転送ルールやメールボックスの委任設定に不正な変更がないか、あるいは新しいトランスポートルールが追加されていないかなどを確認し、不正な設定があれば速やかに削除・修正する必要がある。

最後に、サポート終了プラットフォームに対する計画的なアプローチが求められる。Exchange 2016の事例が示すように、サポート対象とサポート対象外の境界線で脆弱性が蓄積されやすい。パッチの提供が停止するずっと前から、そのようなワークロードを新しい、サポートされているプラットフォームへ移行するためのプロジェクトを計画し、実行していくことが極めて重要となる。これは、単なるセキュリティ対策だけでなく、事業継続性や将来のIT戦略を考える上で不可欠な視点だ。

このニュースは、最新のパッチを適用することの重要性だけでなく、システムのライフサイクル管理、適切なアクセス制御、そして継続的な監視がいかに重要であるかを、改めて教えてくれるものだ。システムエンジニアを目指す上で、このような現実のリスクとそれに対する対策を理解することは、非常に重要な第一歩となるだろう。