【ITニュース解説】Locating Exchange servers that match the CVE-2026-96940 advisory scope

システムエンジニアを目指す皆さんにとって、サーバーのセキュリティは非常に重要なテーマです。今回注目するニュースは、Microsoft Exchange Serverという企業でよく使われるメールサーバーに関する新しいセキュリティの話題で、特に「CVE-2026-96940」という脆弱性とその対応について掘り下げていきます。

まず、「CVE-2026-96940」とは何か、という点から説明しましょう。CVEとは「Common Vulnerabilities and Exposures」の略で、世界中で発見されたソフトウェアの脆弱性（セキュリティ上の弱点）に一意の識別番号を付与する仕組みです。この番号があることで、どの脆弱性について話しているのかが明確になります。今回のCVE-2026-96940は、MicrosoftのExchange Serverに見つかったセキュリティ上の弱点を指します。これは、2026年9月にMicrosoftがリリースしたExchange Serverのセキュリティアップデートの「V2（バージョン2）」で新たに追加された脆弱性です。Microsoft自身が内部で見つけ出したもので、現時点ではこの脆弱性が悪用されたという報告はない、とされています。しかし、悪用されていないからといって無視して良いわけではありません。いつ誰かがこの弱点を利用して不正アクセスを試みるかわからないため、早急な対策が求められます。

次に、この脆弱性の影響を受けるExchange Serverの具体的なバージョンについて見ていきましょう。対象となるのは、「Exchange Server Subscription Edition (SE) RTM」、「Exchange Server 2019 CU14とCU15」、「Exchange Server 2016 CU23」の四つの製品とビルド（特定の時点でのソフトウェアの状態）の組み合わせです。ここで言う「RTM」は「Release To Manufacturing」の略で、製品版として最初に出荷されたバージョンを指します。「CU」は「Cumulative Update」の略で、これまでの修正や機能追加が累積的に含まれたアップデートのことです。皆さんの会社や組織でExchange Serverを運用している場合、これらのいずれかのバージョンを使っている可能性があります。

自分の会社や組織のサーバーがこの脆弱性の影響を受けるかどうかを正確に特定することは、セキュリティ対策の第一歩であり、非常に重要です。もし、これらのバージョンの中から一つだけを探すような方法を取ると、他の脆弱なサーバーを見落としてしまう可能性があります。そのため、対象となる「Subscription Edition RTM、2019 CU14、2019 CU15、2016 CU23」の全ての組み合わせを明確に特定するような、丁寧な調査が必要です。この作業は「バージョンハンティング」とも呼ばれ、正確なサーバーインベントリ（資産台帳）を作成し、管理することの重要性を示しています。

この脆弱性がどれくらい広範囲に影響を与える可能性があるかを知るために、外部の調査ツールを使ったデータも参考になります。「ZoomEye International」というインターネット上の公開されているデバイス情報を収集するツールを使って、「Microsoft Exchange Server」という特徴を持つサーバーを検索したところ、2026年10月3日時点で全世界に100万台以上ものサーバーが存在していることが分かりました。しかし、ここで注意が必要です。この100万台以上の数字は、インターネットからアクセス可能なExchange Serverの数を示しているだけで、直接的に今回のCVE-2026-96940の脆弱性を持つサーバーの数を示しているわけではありません。このデータは、Exchange Serverがどれほど広く使われているか、そして潜在的に多くのサーバーがこの脆弱性の影響を受ける可能性があるか、という「より広い表面積」を把握するために役立ちます。

しかし、外部のデータだけでは、皆さんの組織が実際にどのサーバーを所有し、それが脆弱性を持つかどうかはわかりません。外部の広範なデータと、皆さんの組織内の具体的なサーバーを結びつけるには、内部的な情報が不可欠です。具体的には、自社のExchangeサーバーがどの製品のどのビルド（バージョン）を使っているかというレポートを作成し、それを先の脆弱性対象バージョンリストと照合する必要があります。さらに、重要なのが「Extended Security Update (ESU) プログラム」への加入状況を確認することです。

ESUプログラムは、Microsoftの製品が通常のサポート期間を終えた後も、セキュリティアップデートを受け取れるようにするための有料サービスです。今回のニュース記事によると、Exchange 2016とExchange 2019は既に主流サポート期間が終了しています。そのため、これらの古いバージョンのExchange Serverを使っている組織が、今回のV2セキュリティアップデートを含む修正プログラムをダウンロードして適用するためには、ESUプログラム（具体的には2026年5月から10月のアップデートをカバーする「Period 2 Extended Security Update」）に加入している必要があります。

もし、皆さんの組織のExchange ServerがESUプログラムに加入していない古いバージョンの場合、今回のV2アップデートパッケージを受け取ることができません。そのようなサーバーは、単にパッチを適用する「パッチトラック」ではなく、新しいバージョンのExchange Serverや他のメールシステムへ移行する「マイグレーショントラック」に分類されるべきです。この区別も、サーバーインベントリの中で明確にしておくことが大切です。

では、具体的にどのような行動を取るべきでしょうか。最も重要なのは、今回のExchangeセキュリティアップデートを直ちにインストールすることです。まず、Microsoftが提供している「Security Update Guide（セキュリティ更新プログラムガイド）」にアクセスします。ここで、自社の各Exchange Serverのビルド情報に合った適切な累積パッケージを特定します。特定したパッケージをダウンロードし、サーバーに適用します。アップデートの適用後には、サーバーを再起動する必要があります。再起動が完了したら、すべてのExchangeサービスが正常に起動し、問題なく稼働していることを必ず確認してください。この一連の作業は、システムエンジニアとしてサーバーの安定稼働とセキュリティを守るための基本的ながらも非常に重要な手順です。

今回のニュースは、セキュリティアップデートが突然追加されることがあること、そして古いシステムを運用し続ける場合の複雑さ（ESUプログラムなど）を示しています。システムエンジニアとして、常に最新のセキュリティ情報を追いかけ、自社のシステムが安全な状態に保たれているかを定期的に確認し、適切な対策を講じることが求められます。