CVE-2026-42897とは？Exchange OWAの悪用済みXSSと修正SU・緩和策の外し方【2026年10月】

CVE-2026-42897は、オンプレミス版Microsoft Exchange ServerのOutlook Web Access（OWA）にあるクロスサイトスクリプティング（XSS）の脆弱性です。Microsoftは2026年5月14日に公表し、その時点で実際の悪用を確認していました。翌15日には米CISAの悪用済み脆弱性カタログ（KEV）にも追加されています。公表時は修正版が無く、自動の緩和策で凌ぐしかありませんでしたが、6月9日に修正のセキュリティ更新（SU）が出て、7月14日には関連するCVE-2026-55008とあわせて7月SUの適用が推奨されました。その後も8月・9月・9月のV2と更新が続き、2026年10月13日には10月のSUが公開されています。10月はExchange 2016・2019向けSUが提供される最後の月でもあるのです。本記事では、攻撃の仕組みと影響範囲、2026年10月時点で当てるべきビルド、緩和策の確認と取り外しの手順、11月以降の2016・2019の扱いを、Microsoftの一次情報に沿って整理します。

まとめ：CVE-2026-42897は最新SUの適用後に緩和策を外して完了

• 何が起きるか：細工したメールをOWAで開き、一定の操作条件がそろうと、攻撃者のJavaScriptが利用者のブラウザー上で動く。MicrosoftのCVSSは8.1、悪用あり。
• 対象：Exchange Server 2016・2019・Subscription Edition（SE）の全更新レベル。Exchange Onlineは対象外。
• 修正：2026年6月のSUで修正。7月のSUで関連するCVE-2026-55008（CVSS 9.6）も直った。2026年10月28日時点で当てるのは10月13日の10月SU（SE RTMならKB5128895・15.2.2562.56）。
• 10月SUの中身：遠隔からのコード実行につながるCVE-2026-70571（CVSS 8.1・Critical）を含む6件を修正。10月2日の9月SU V2で直ったCVE-2026-96940も含む。
• 緩和策の後始末：7月SUを入れても、EM ServiceやEOMTで入れた緩和策は自動では消えない。適用後に自分で外す。
• 2016・2019：2026年5月〜10月のSUは、Period 2のESU（拡張セキュリティ更新）契約がある組織だけが受け取れる。10月SUが最後で、11月以降はSEにしか更新が出ない。

緩和策で凌いでいた5月の状況のまま記録が止まっている組織は少なくありません。いまやるべきことは「10月のSUを入れる」「緩和策を外す」「OWAの利用で侵害の痕跡が無いかを確かめる」の3つです。2016・2019を使い続けているなら、これに「SEかExchange Onlineへの移行日を決める」が加わります。

CVE-2026-42897のOWAへの攻撃の仕組みと成立する条件

MicrosoftのセキュリティアップデートガイドのFAQは、攻撃の流れを「細工したメールを利用者に送り、利用者がOWAでそのメールを開き、一定の操作条件が満たされると、ブラウザーの文脈で任意のJavaScriptが実行される」と説明しています。脆弱性の種類はCWE-79（Webページ生成時の入力の不適切な無害化）で、影響の分類は「なりすまし（Spoofing）」です。

OWAでメールを開いた利用者のブラウザー上でスクリプトが動く流れ

攻撃者は組織のアカウントを持っている必要がありません。外からメールを送れれば第一段階は成立します。スクリプトはOWAにログインしている利用者の権限で動くため、その利用者として画面の操作をされるおそれがあります。サーバーにファイルを置かれるわけではないので、サーバー側のログだけでは痕跡が見えにくいのが特徴です。XSSの基本と実装上の防ぎ方はXSSとCSRFの違いと実装レベルの対策で解説しています。

MicrosoftとNVDで異なるCVSSの評価と悪用の有無による判断

MicrosoftのCVSS v3.1は8.1（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N）で、深刻度は「Critical」です。一方、NVDでNISTが付けた値は6.1（S:C/C:L/I:L）で、一般的な反射型XSSと同じ評価になっています。脆弱性管理ツールがNVDの値を取り込むと「Medium」で表示されますが、悪用が確認されKEVに載っている事実のほうを優先してください。KEVへの追加は2026年5月15日で、米連邦政府機関への対応期限は5月29日でした。KEVの期限がどう決まり、自社の対応期限にどう置き換えるかはBOD 26-04とKEVの是正期限の決まり方で整理しています。

Internet Explorerモードでは緩和策が効かない理由

緩和策はContent Security Policy（CSP）を使ってスクリプトの実行を抑える仕組みです。Microsoftは、Internet ExplorerとEdgeのInternet ExplorerモードはCSPに対応していないため、これらでOWAを開くと緩和策が効かないと明記しています。古い業務システムの都合でIEモードを使っている端末が残っていないかを確かめてください。CSPの考え方は外部スクリプトをSRI・CSPで安全に使う方法で扱っています。

公表から修正までの時系列と関連するCVE-2026-55008

CVE-2026-42897は、公表時に修正版が無い「ゼロデイ」の状態でした。Exchangeチームのブログとセキュリティアップデートガイドの改訂履歴を並べると、次のとおりです。

7月14日の更新で、Microsoftは「CVE-2026-42897と関連するCVE-2026-55008から守るため、7月のSUをできるだけ早く入れる」よう案内し、7月SUを入れた後はEM ServiceやEOMTで入れた緩和策を外してよいとしました。CVE-2026-55008は同じくExchangeのXSS（CWE-79）で、MicrosoftのCVSSは9.6（スコープ変更あり）とCVE-2026-42897より高く評価されています。2026年10月1日版のKEVには載っていません。CVE-2026-42897そのもののページは、2026年10月28日時点でも7月14日の改訂（2.1版）が最新で、8月以降のSUでこのCVEの扱いが変わったわけではありません。8月以降のSUは別の脆弱性を直すもので、SUは累積なので、新しいSUを入れればCVE-2026-42897の修正も含まれます。

影響を受けるExchange Serverと2026年10月時点で当てるビルド

影響を受けるのは、Exchange Server 2016・2019・SEのすべての更新レベルです。Exchange Onlineは影響を受けません。SUは、サポート対象のCU（累積更新）、つまりSE RTM・2019 CU14とCU15・2016 CU23に対して提供されます。

2016と2019はPeriod 2のESU契約が無いとSUを受け取れない

Exchange Server 2016と2019は、すでにサポートが終わっています。7月SUのリリース記事によると、2026年5月から10月に出る2016・2019向けのSUは、Period 2の拡張セキュリティ更新（ESU）プログラムに登録した組織だけが受け取れます。ESUに入っていない場合は、Exchange Server SEへ移行しない限り、CVE-2026-42897の修正を受け取れません。この状態では緩和策を外せないため、IEモードの排除とあわせて、緩和策を入れたまま移行を急ぐことになります。

製品・CUごとの修正済みビルドと適用するSUのビルド番号の比較

Microsoftのセキュリティアップデートガイドに載る修正済みビルドは次のとおりです。6月〜9月の値は既存の公表値、9月SU V2と10月SUの値はMSRCの2026年10月分のCVRFから2026年10月28日に取得しました。ビルド番号は大きいほど新しく、SUは累積なので、10月のSUはそれまでのSUの修正をすべて含みます。

9月のSUでは、認証なしで遠隔からコードを実行され得るCVE-2026-55007（CVSS 8.1）や、OWAに関係する別のXSSのCVE-2026-69356（CVSS 9.3）も直っています。CVE-2026-42897だけを見て6月や7月のビルドで止めず、10月SUのビルドまで上げてください。10月SUのKB番号は次のとおりです。

SE RTM向けのKB5128895は、MicrosoftのダウンロードセンターでSecurity Update for Exchange Server SE RTM SU11として配布されています。2019と2016向けはESU契約者向けの経路で入手します。

2026年10月13日のExchange 10月SUで直った脆弱性6件と9月SU V2

10月のSUは、Windowsなどと同じ月例の公開日（日本時間では10月14日）に出ました。月例更新の日程と、ゼロデイが出たときの対応の順番はPatch Tuesdayの日本時間と2026年の日程で、同じ日に出たWindows側の修正はWindows 2026年10月の月例更新とビルド確認スクリプトで解説しています。Exchangeサーバーは多くの場合Windows Serverの上で動いているので、OSとExchangeの両方の更新を同じ保守枠で計画すると停止の回数を減らせます。

RCEのCVE-2026-70571を含む10月SUの修正内容とCVSS

MSRCの2026年10月分のデータで、Exchange Serverを対象にしたCVEは次の7件です。このうち10月13日に公表されたのは6件で、残る1件は10月2日の9月SU V2で先に直っています。2026年10月28日時点で、いずれも公表済み・悪用ありの扱いにはなっていません。

CVE-2026-70571はスタックベースのバッファーオーバーフローで、MicrosoftのFAQは「認証されていない攻撃者が細工したメールをExchangeサーバーに送ると、内部の内容変換の処理が動き、サーバー上でコードを実行され得る。利用者の操作は不要」と説明しています。攻撃の複雑さは「高（AC:H）」で、成立には対象環境への深い理解が要るとされています。それでも、メールを受け取るだけで条件がそろう種類の脆弱性なので、CVE-2026-42897と同じく、インターネットからメールを受けるExchangeでは優先して当てる対象です。CVE-2026-70279（なりすまし）とCVE-2026-96940（権限昇格）は、MSRCの評価で「悪用される可能性が高い」とされています。

9月SU V2で追加されたCVE-2026-96940と入れ直しの要否

Microsoftは10月2日に9月SUを出し直しました。9月SU V2のリリース記事は、最初の9月SUとの違いを「CVE-2026-96940の追加」だけだとしています。CVE-2026-96940は認証の弱さによる権限昇格で、FAQによると、認証済みの攻撃者が同じ組織の他の利用者のメールボックスにアクセスし、メールや添付ファイルを読めるおそれがあります。別の組織（テナント）をまたいだアクセスはできません。最初の9月SUで止まっているサーバーは、この修正を含んでいません。いまから入れるなら9月SU V2を挟まず、10月SUを直接入れれば足ります。

9月SUの既知の不具合と緩和策の副作用を見分ける際の確認事項

9月SUと9月SU V2には、公開した予定表（.ics）がカレンダーアプリからHTTP 500を返す不具合と、韓国語のメールでContentEngineが停止する不具合が既知の問題として載っていました。10月SUのリリース記事は、この2件を10月SUで解消したと書いています。公開予定表のエラーは、CVE-2026-42897の緩和策を入れていたときの副作用としても挙がっていた症状です。緩和策を外したのに公開予定表がまだ500を返すなら、9月SUの不具合を疑い、10月SUへ上げて様子を見てください。

Exchange 2016・2019のESUは10月SUで終了し11月以降はSEだけ

10月SUのリリース記事は、2016と2019について次のように告知しています。2016と2019はサポート終了から1年がたち、2026年10月はPeriod 2のESU契約者が新しいSUを受け取れる最後の月です。11月以降はSE向けにしか更新を出さず、Microsoftの更新の告知とMSRCのCVEは2016・2019に触れなくなります。これは2016・2019に今後の脆弱性が無いという意味ではなく、Microsoftが2016・2019を脆弱性の試験の対象から外すという意味だとも明記されています。Period 2のESUはしばらく購入できますが、買っても10月SUまでしか追いつけません。

11月以降の2016と2019で起きることと「影響なし」と読み違える危険

11月以降、MSRCのセキュリティアップデートガイドで新しいExchangeのCVEを見ても、影響を受ける製品の欄に2016と2019は出てきません。脆弱性管理ツールが製品名で照合していると、2016・2019のサーバーは「該当なし」と表示される可能性があります。実際には試験されていないだけなので、SEで見つかった脆弱性は2016・2019にもあると考えて扱う必要があります。CVE-2026-42897のような悪用済みの脆弱性が次に出ても、2016・2019には修正も緩和策の案内も出ない前提で計画を立ててください。

Exchange SEへ上げるかExchange Onlineへ移すかの判断の目安

選択肢は、オンプレミスのままExchange SEへ上げるか、メールボックスをExchange Onlineへ移すかの2つです。メールのデータを社外に置けない規程がある、ほかの社内システムとSMTPやEWSで密に連携している、といった事情があるならSEが候補になります。その場合も、毎月のSUを当てる運用とOWAの公開範囲の管理は、引き続き自社が担う業務です。逆に、毎月のSUと緩和策の付け外しを担う人手が足りないなら、Exchange Onlineへ移すと、今回のようなサーバー側の修正はMicrosoftが行います。10月SUの記事も、Exchange Onlineの利用者はすでに保護されていると書いています。ハイブリッド構成で管理用のExchangeを残す場合は、そのサーバーにもSUが必要です。Microsoft 365への移行計画やライセンスの組み方から相談したい場合は、Microsoft 365・Copilot導入支援で、現行のExchangeの棚卸しから進められます。

Exchange Serverのビルドと緩和策の状態を確かめるコマンド

Microsoftは、Exchangeのビルドを確かめる方法として、Exchange Management ShellでExsetup.exeのファイルバージョンを読む方法を案内しています（Exchange Serverのビルド番号とリリース日）。緩和策の状態も同じシェルで確かめられます。

# 全Exchangeサーバーのビルド（SUまで反映されたファイルバージョン）
Get-ExchangeServer | ForEach-Object {
  Invoke-Command -ComputerName $_.Name -ScriptBlock {
    Get-Command Exsetup.exe | ForEach-Object { $_.FileVersionInfo.FileVersion }
  }
}

# EM Serviceによる緩和策の適用状況（CVE-2026-42897の緩和策のIDはM2.1.x）
Get-ExchangeServer | Format-List Name, MitigationsEnabled, MitigationsApplied, MitigationsBlocked

Get-ExchangeServerが返す版の情報はCUまでしか表さないため、SUの適用確認には使えません。ファイルバージョンが上の表の10月SUの値以上なら最新です。台数が多い場合は、取得したファイルバージョンを10月SUの値と突き合わせるところまでスクリプトにしておくと、見落としが減ります。

# 2026年10月SUのビルド（MSRC CVRF 2026-Octの値）と比べて不足を表示する
$target = @{
  '15.2.2562' = [version]'15.2.2562.56'   # SE RTM（KB5128895）
  '15.2.1748' = [version]'15.2.1748.55'   # 2019 CU15（KB5128896）
  '15.2.1544' = [version]'15.2.1544.50'   # 2019 CU14（KB5128897）
  '15.1.2507' = [version]'15.1.2507.77'   # 2016 CU23（KB5128898）
}
Get-ExchangeServer | ForEach-Object {
  $name = $_.Name
  $v = [version](Invoke-Command -ComputerName $name -ScriptBlock {
    (Get-Command Exsetup.exe).FileVersionInfo.FileVersion
  })
  $key = '{0}.{1}.{2}' -f $v.Major, $v.Minor, $v.Build
  if (-not $target.ContainsKey($key)) {
    "$name $v サポート対象外のCU。先にCUを上げる"
  } elseif ($v -lt $target[$key]) {
    "$name $v 10月SU未適用（必要: $($target[$key])）"
  } else {
    "$name $v OK"
  }
}

「サポート対象外のCU」と出たサーバーには、SUを当てる前に、まずCUを上げる作業が必要です。複数台を一度に点検するなら、MicrosoftのEOMTと並んで案内されているExchange Health Checkerスクリプトを使うと、SUの不足や緩和策の状態がHTMLのレポートにまとまります。10月SUのリリース記事も、更新の前にHealth Checkerで全サーバーの状態を棚卸しする手順を最初に挙げています。

EM ServiceとEOMTの緩和策の確認と7月SU適用後の取り外し

公表時の対策は、Exchange Emergency Mitigation Service（EM Service）による自動の緩和策でした。EM Serviceは2021年9月に導入され、既定で有効です。インターネットに出られない環境では、EOMTスクリプトで手動で入れる方法が案内されました。

EM Serviceの緩和策の適用状態の確認とOWAの既知の不具合

EM Serviceが有効なら、緩和策（ID M2.1.x）は自動で入ります。状態が「Applied」なら効いています。Exchangeチームのブログは、詳細欄に「Mitigation invalid for this exchange version.」と出ても見た目だけの問題で、Appliedなら正しく適用されていると説明していました。ただし、2023年3月より古いバージョンのExchangeではEM Serviceが新しい緩和策を取りに行けません。緩和策を入れている間は、次の不具合が出ることが分かっています。

• OWAの予定表の印刷が動かない。
• 受信者のOWAの閲覧ウィンドウで、本文に埋め込んだ画像が正しく表示されない。
• OWA light（URLが?layout=lightで終わるもの）が正しく動かない。
• 公開した予定表がエラー500になる、監視ツールでOWACalendar.Proxyが異常と表示される。

これらは緩和策を外せば解消します。業務への影響を減らすためにも、7月以降のSUを入れて早く外すのが筋です。前の見出しで触れたとおり、公開予定表のエラーは9月SUの不具合でも起きるため、外した後も残る場合は10月SUまで上がっているかを先に確かめてください。

7月SU以降を入れた後に緩和策を外すための全サーバーのビルド確認

7月SUのリリース記事は、「7月SUを入れても、すでに入っているCVE-2026-42897の緩和策は自動では消えない」と明記しています。EM Serviceで入れた場合はM2.1.0のIISルールを削除し、EOMTで入れた場合はEOMTのロールバックを実行します。外す前に、上のコマンドで全サーバーのビルドが7月SU以降であることを確かめてください。1台でも古いビルドが残っていれば、そのサーバーの緩和策は外しません。2026年10月時点では、外す条件を「7月SU以降」で満たしていても、そのまま10月SUまで上げてから外すほうが手戻りがありません。

メールボックスの侵害の痕跡を確かめる観点とOWAの公開範囲の見直し

CVE-2026-42897は公表前から悪用されていたため、SUを入れても、それ以前に被害を受けていないかは別に確かめる必要があります。被害は利用者のブラウザーの中で起きるので、サーバー側のファイルではなく、メールボックスの設定とサインインの記録を見ます。

• 受信トレイのルール：利用者が作っていない転送ルールや削除ルールが増えていないか。外部アドレスへの自動転送は特に疑う。
• OWAの設定変更：署名、転送先、代理人の追加など、本人に覚えのない変更が無いか。
• サインインの記録：普段と違う場所や時間帯からのOWAへのアクセスが無いか。
• 不審なメール：2026年5月前後に届いた、OWAで開かれたメールのうち不審なもの。
• 他人のメールボックスへのアクセス：CVE-2026-96940の修正前は、同じ組織の利用者が他人のメールを読めるおそれがあった。メールボックス監査ログで、本人以外によるアクセスが無いかを見る。

ルールの不正な追加は、一度の侵入で長くメールを盗み見られる典型的な手口です。メールの監査ログをSIEMに集めておくと、こうした変更を後からさかのぼれます。標的型攻撃の全体像は標的型攻撃の手口と多層防御で解説しています。

OWAをインターネットに公開し続けるかの判断と利用者の範囲の見直し

OWAを社外に公開しているかぎり、メール経由の攻撃は外から届きます。社外からのメールの閲覧が本当に必要な利用者だけに絞る、VPNや認証付きのリバースプロキシの内側に置く、といった見直しは、今回の脆弱性に限らず効く対策です。ESUに入っていない2016・2019を公開したままにするのは、修正が届かない以上、避けるべき構成です。11月以降はESU契約者にも修正が届かなくなるので、2016・2019を使うすべての組織で、この判断が当てはまるものとして公開範囲を見直してください。公開範囲や設定を第三者に確かめてもらいたい場合は、脆弱性診断・セキュリティ診断で外から到達できる面を洗い出せます。同じくメール画面のXSSが問題になった国産グループウェアの例は、サイボウズ Garoonの脆弱性で扱っています。オープンソースのWebメールで2026年10月に20件の修正が出た例は、Roundcube 脆弱性の版確認と更新手順で解説しました。

よくある質問

CVE-2026-42897について、よく聞かれる質問をまとめます。

CVE-2026-42897の修正パッチはもう出ていますか？

出ています。2026年6月9日のExchange Server SUで修正が提供され、7月14日には関連するCVE-2026-55008も直る7月SUの適用が推奨されました。2026年10月28日時点では、10月13日の10月SU（Exchange SE RTMならKB5128895・15.2.2562.56）まで当てるのが望ましい状態です。SUは累積なので、間の月のSUを順に入れる必要はありません。公表時に「恒久パッチは未提供」と書かれた情報は古くなっています。

Exchange Onlineを使っていますが影響はありますか？

ありません。MicrosoftはExchange Onlineは影響を受けないとしています。ただしハイブリッド構成でオンプレミスのExchange Serverを残している場合や、管理ツールを入れた端末がある場合は、そちらのSUの適用が必要です。10月SUの記事も、Exchange Onlineの利用者に対して、管理用途だけのサーバーを含め社内に残るExchangeの更新を求めています。

緩和策を入れたままにしておいても問題ありませんか？

セキュリティ上は効いていますが、予定表の印刷ができない、埋め込み画像が表示されない、公開予定表がエラーになるといった不具合が続きます。7月SU以降を入れたサーバーでは不要になるため、全サーバーのビルドを確かめたうえで外してください。SUを入れても緩和策は自動では消えません。

Exchange 2016や2019は11月以降も更新を受け取れますか？

受け取れません。2016・2019向けのSUは、Period 2のESUに登録した組織が2026年5月〜10月に出るものを受け取れるだけで、10月SUが最後です。11月以降の更新はExchange SEにしか出ず、MSRCのCVEも2016・2019に触れなくなります。ESUに入っていない組織は5月以降の修正自体を受け取れないため、緩和策を外さずに運用しつつ、SEかExchange Onlineへの移行を急ぐことになります。IEモードでOWAを開く端末をなくすことも、緩和策を効かせる条件です。

CVSSが8.1と6.1で違うのはなぜですか？

評価した主体が違うためです。Microsoftは機密性と完全性への影響を「高」として8.1を付け、NVDでNISTは一般的なXSSと同じく「低」として6.1を付けました。どちらの値でも、悪用が確認されKEVに載っている事実は変わりません。優先度はCVSSより悪用の有無で決めてください。

関連記事

• XSSとCSRFの違いとは？仕組み・被害・対策：XSSの仕組みと実装上の対策
• 外部スクリプトとは？script srcの読み込み方とSRI・CSP：緩和策が使うCSPの考え方
• Patch Tuesday（パッチチューズデー）とは？：月例更新の日程とゼロデイへの対応順
• Windows 2026年10月の月例更新：同じ日に出たWindowsの修正KBとビルド確認
• サイボウズ Garoonの脆弱性：グループウェアのメール画面のXSS
• 標的型攻撃とは？手口の種類と多層防御：メールを入口にした攻撃