Microsoft Exchange ServerのCVE-2026-62911、PoC公開で警戒高まる 約2万2,000台が未更新と報道

Microsoft Exchange Serverの認証処理に存在する脆弱性 CVE-2026-62911について、公開PoCの出現と多数の未更新サーバーがインターネット上に残っていることから、早急な対応が求められています。

Microsoftは2026年8月11日の月例セキュリティ更新でCVE-2026-62911を修正しました。同社のCVE評価では、脆弱性は「Authentication Bypass by Capture-replay」に分類され、CVSS v3.1は8.0（High）です。ネットワーク経由で攻撃可能で、低い権限とユーザー操作を必要とする評価になっています。

一方、オランダ国家サイバーセキュリティセンター（NCSC-NL）は8月28日、CVE-2026-62911のPoCコードがオンラインで公開されたとしてアドバイザリを更新しました。同機関は、このPoCを用いた場合、未認証の攻撃者が任意コード実行に至る可能性があると説明し、評価を引き上げています。

Shadowserver Foundationは8月27日からCVE-2026-62911をExchange Serverのインターネットスキャン対象に追加しました。BleepingComputerは9月1日、Shadowserverの観測として、未更新でインターネット公開されたExchange Serverが21,899 IPアドレス確認され、米国が約6,200、ドイツが約5,100だったと報じています。

ただし、2026年9月2日時点でMicrosoftはCVE-2026-62911の実悪用を確認したとは公表しておらず、CISAのKnown Exploited Vulnerabilities（KEV）カタログにも掲載されていません。PoC公開と未更新環境の多さは確認されていますが、実際の攻撃での悪用確認とは分けて扱う必要があります。

CVE-2026-62911のサマリー

• Microsoftは2026年8月11日、Exchange ServerのCVE-2026-62911を修正しました。
• 脆弱性はCWE-294「Authentication Bypass by Capture-replay」に分類されています。
• MicrosoftのCVSS v3.1は8.0（High）です。
• Microsoftの評価では、ネットワーク経由で攻撃可能、攻撃難易度は低く、低い権限とユーザー操作が必要です。
• Microsoftは、悪用に成功した場合、Exchange利用者のメールボックスを乗っ取り、メール閲覧・送信・添付ファイル取得につながる可能性があると説明しています。
• 影響を受けるのはExchange Server 2016 CU23、Exchange Server 2019 CU14/CU15、Exchange Server Subscription Edition RTMです。
• 修正ビルドは15.1.2507.72、15.2.1544.44、15.2.1748.49、15.2.2562.46です。
• NCSC-NLは8月28日、CVE-2026-62911のPoCコードが公開されたとして注意喚起を更新しました。
• NCSC-NLは公開PoCについて、未認証の攻撃者による任意コード実行につながると説明しています。
• DEVCOREのOrange Tsai氏は、CVE-2026-62911を含む3件の脆弱性を連鎖し、Pwn2Own Berlin 2026でExchange Server上のSYSTEM権限RCEを実証したとしています。
• Shadowserverは8月27日からCVE-2026-62911をExchange Serverのスキャン対象に追加しました。
• BleepingComputerはShadowserverの観測として、9月1日時点で21,899 IPが未更新のままインターネット公開されていると報じています。
• Microsoftによる実悪用確認は2026年9月2日時点で確認できませんでした。
• CISA KEVにも2026年9月2日時点で未掲載です。
• Exchange Server 2016と2019は通常サポートを終了しており、2026年10月末までのESU加入組織のみが対象更新を受け取れます。

項目	内容
CVE	CVE-2026-62911
製品	Microsoft Exchange Server
公表・修正日	2026年8月11日
脆弱性種別	Authentication Bypass by Capture-replay
CWE	CWE-294
CVSS v3.1	8.0（High）
攻撃条件	ネットワーク経由、低権限、ユーザー操作あり
Microsoftが示す影響	Exchange利用者のメールボックス乗っ取り、メール閲覧・送信、添付ファイル取得
PoC	公開済みとNCSC-NLが確認
実悪用	Microsoftによる確認なし
CISA KEV	2026年9月2日時点で未掲載
Shadowserver	2026年8月27日からスキャン対象に追加
未更新サーバー	BleepingComputerがShadowserver観測として21,899 IPと報道
研究者	DEVCORE Research Team Orange Tsai氏
対応	2026年8月のExchange Server Security Updateを適用

Microsoftは8月の月例更新でCVE-2026-62911を修正

Microsoftは8月11日、2026年8月の月例セキュリティ更新を公開し、Exchange Server向けの複数の脆弱性を修正しました。

CVE-2026-62911もこの更新に含まれています。

MicrosoftのCVEレコードでは、CVE-2026-62911を「Microsoft Exchange Server Elevation of Privilege Vulnerability」として扱い、capture-replayによる認証バイパスにより、認証済み攻撃者がネットワーク経由で権限を昇格できると説明しています。

CVSS v3.1ベクターは以下です。

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

つまりMicrosoftの単体評価では、ネットワーク経由で攻撃でき、攻撃難易度は低い一方、低権限とユーザー操作を必要とします。

メールボックス全体の乗っ取りにつながる可能性

MicrosoftはCVE-2026-62911の影響として、悪用に成功した攻撃者がExchange Server上の利用者メールボックスへ広範にアクセスできる可能性を説明しています。

BleepingComputerが引用したMicrosoftの説明では、攻撃者はExchangeユーザーのメールボックスを乗っ取り、メールの閲覧・送信、添付ファイルのダウンロードが可能になるとされています。

メール基盤の侵害は、単なる情報閲覧にとどまりません。

実在する社内アカウントからメールを送信できる状態になると、標的型メール、社内なりすまし、取引先を装ったBEC、不正な認証情報収集などの二次攻撃につながる可能性があります。

ただし、こうした二次攻撃がCVE-2026-62911を使って実際に発生したとの公式確認は現時点ではありません。

影響バージョンと修正ビルド

MicrosoftのCVEレコードで影響対象として示されているのは以下です。

製品	影響を受けるバージョン	修正ビルド
Exchange Server 2016 CU23	15.1.2507.72未満	15.1.2507.72
Exchange Server 2019 CU14	15.2.1544.44未満	15.2.1544.44
Exchange Server 2019 CU15	15.2.1748.49未満	15.2.1748.49
Exchange Server Subscription Edition RTM	15.2.2562.46未満	15.2.2562.46

対応する2026年8月11日の更新は次のとおりです。

• Exchange Server 2016 CU23：KB5121576
• Exchange Server 2019 CU14：KB5121575
• Exchange Server 2019 CU15：KB5121574
• Exchange Server Subscription Edition RTM：KB5121573

Microsoftは、Exchange Server Health Checkerを使って更新状況を確認し、アップデート後にも追加対応が必要か確認するよう案内しています。

Exchange Server 2016・2019はESU環境のみ更新提供

Exchange Server 2016とExchange Server 2019はすでに通常サポートを終了しています。

Microsoftは、2026年10月末までのPeriod 2 Extended Security Update（ESU）プログラムに加入している組織のみ、これらの製品向けセキュリティ更新を受け取れると案内しています。

ESUに加入していない組織については、Exchange Server Subscription Editionへの移行が推奨されています。

NCSC-NLも、ESUの対象外となっているExchange Server 2016・2019について、少なくとも外部から直接アクセスできないようにし、可能であれば廃止・移行するよう強く推奨しています。

NCSC-NLがPoC公開を確認、警戒度を引き上げ

オランダNCSCは8月28日、Microsoft Exchange Serverの脆弱性に関するアドバイザリNCSC-2026-0289を更新しました。

更新理由として、CVE-2026-62911のPoCコードがオンラインで公開されたことを明記しています。

NCSC-NLはこれに伴い評価をMEDIUM/HIGHからHIGH/HIGHへ引き上げました。

さらに同機関は、公開されたPoCを利用することで、未認証の攻撃者が任意コード実行に至る可能性があり、Exchange利用者のメールボックスへアクセスしたり、その後のネットワーク攻撃に悪用したりできると説明しています。

MicrosoftのCVSS評価と「未認証RCE」は分けて見る必要

ここで注意したいのが、MicrosoftのCVE単体評価と、NCSC-NLがPoC公開後に示した「未認証の任意コード実行」という説明の違いです。

MicrosoftのCVEレコードでは、

• Privileges Required：Low
• User Interaction：Required
• CVSS：8.0

となっています。

一方、Orange Tsai氏は、自身の研究実績として、Pwn2Own Berlin 2026でCVE-2026-62911を含む3件のExchange Server脆弱性を連鎖し、SYSTEM権限でのRCEを実証したと説明しています。

Zero Day Initiative（ZDI）も、CVE-2026-62911について単独の権限昇格・認証バイパスとしてだけでなく、別の脆弱性と組み合わせることでSYSTEM権限の任意コード実行につながると説明しています。

したがって、CVE-2026-62911単体のMicrosoft評価と、PoCで示された複数脆弱性の攻撃チェーンを混同しないことが重要です。

本記事では、MicrosoftのCVE単体評価は「低権限＋ユーザー操作あり」、NCSC-NLが警告する公開PoCについては「未認証RCEにつながる攻撃チェーン」として分けて扱います。

Pwn2Own Berlin 2026でOrange Tsai氏が実証

CVE-2026-62911を報告したのは、DEVCORE Research TeamのOrange Tsai氏です。

Orange Tsai氏は自身の公開プロフィールで、Pwn2Own Berlin 2026において、CVE-2026-62911を含む3件の脆弱性を連鎖し、Microsoft Exchange Server上でSYSTEM権限のリモートコード実行を実現したと説明しています。

ZDIによると、Microsoftへの報告日は5月21日で、8月11日にMicrosoftと協調して情報公開されました。

今回のPoC公開は、パッチ公開後に研究内容が実装可能な形で広がり始めたことを意味します。

Shadowserverが8月27日からCVE-2026-62911をスキャン対象に追加

Shadowserver Foundationは、インターネット上に公開されている脆弱なExchange Serverを継続的にスキャンしています。

同組織の公式「Vulnerable Exchange Server Report」では、8月27日からCVE-2026-62911をスキャン対象へ追加したと明記しています。

Shadowserverは主にExchange Serverが返すバージョン情報を基に、脆弱な可能性がある環境を判定しています。

したがって、Shadowserverの件数は「侵害されたサーバー数」ではなく、「観測されたバージョンから未更新と判定されたインターネット公開サーバー数」です。

この点は重要です。

約2万2,000台が未更新とBleepingComputerが報道

BleepingComputerは9月1日、Shadowserverの観測結果として、CVE-2026-62911に対して未更新のExchange Serverが21,899 IPアドレス、インターネット上に公開されたままになっていると報じました。

内訳として、米国が約6,200、ドイツが約5,100とされています。

この21,899という具体的な数字はBleepingComputerがShadowserverの観測として報じたもので、Shadowserverの公開説明ページではCVE-2026-62911をスキャン対象に追加した事実は確認できますが、同ページ本文にはこの時点の国別件数までは掲載されていません。

したがって、「約2万2,000台が侵害された」という意味ではありません。

未更新状態で外部公開されていると推定されるExchange Serverが約2万2,000 IP観測された、というのが正確な整理です。

実悪用は現時点で未確認、CISA KEVにも未掲載

2026年9月2日時点で、MicrosoftはCVE-2026-62911について実際の攻撃で悪用されていると公表していません。

また、CISAのKnown Exploited Vulnerabilities（KEV）カタログにもCVE-2026-62911は掲載されていません。

NCSC-NLが確認したのはPoCコードの公開です。

PoC公開と実悪用確認は別の状態であり、公開コードが存在するからといって、すでに大規模な攻撃キャンペーンが進行していると断定することはできません。

一方で、Exchange Serverは過去にも公開直後の脆弱性が実際の攻撃へ移行した事例が多く、インターネット公開環境ではPoC公開後の監視強化が必要です。

情報システム部門への示唆

CVE-2026-62911への対応では、まず自組織のExchange Serverの正確なビルド番号を確認し、2026年8月のセキュリティ更新が適用されているか確認する必要があります。

特にExchange Server 2016 CU23、2019 CU14/CU15を運用している組織は、ESU加入状況も含めて確認が必要です。

更新作業では、単に「CU23」「CU15」などのCU名称だけを見るのではなく、セキュリティ更新適用後のビルド番号まで確認することが重要です。

また、PoC公開後もインターネットへExchange Serverを直接公開していた場合は、更新だけで対応を終わらせず、侵害有無の確認も検討すべきです。

確認対象には、

• Exchange管理者権限やメールボックス権限の不審な変更
• 通常と異なるメールボックスアクセス
• 大量のメール・添付ファイル取得
• 不審なメール送信
• 新規作成されたアカウントやトークン
• Exchange Server上の不審なファイル生成
• Webサーバーや認証ログ上の異常
• Exchange Serverから他システムへの不審な通信

などがあります。

さらに、Exchange Server 2016・2019を継続利用している組織では、2026年10月末にESU期間も終了するため、今回の脆弱性対応を個別パッチだけの問題とせず、Subscription Editionへの移行計画を含めて検討する必要があります。

セキュリティ対策Labでは、2026年8月のMicrosoft月例更新についても既報でCVE-2026-62911を取り上げています。

Microsoft、2026年8月定例パッチで421件の脆弱性を修正　悪用確認済みゼロデイ1件、公開済み未パッチ2件も

また、Exchange Serverでは2026年5月にもCVE-2026-42897が実際の攻撃で悪用されており、オンプレミスExchangeを継続利用する組織では更新遅延を避ける運用が引き続き重要です。

Microsoft Exchange Serverのゼロデイ脆弱性 CVE-2026-42897がサイバー攻撃へ悪用

出典

• CVE-2026-62911 – Microsoft Security Response Center
• 2026年8月のセキュリティ更新プログラム（月例） – Microsoft
• Description of the security update for Microsoft Exchange Server 2016 CU23: August 11, 2026 (KB5121576) – Microsoft
• Description of the security update for Microsoft Exchange Server 2019 CU14: August 11, 2026 (KB5121575) – Microsoft
• Description of the security update for Microsoft Exchange Server 2019 CU15: August 11, 2026 (KB5121574) – Microsoft
• Description of the security update for Microsoft Exchange Server Subscription Edition RTM: August 11, 2026 (KB5121573) – Microsoft
• Security Advisory NCSC-2026-0289 – NCSC-NL
• CRITICAL: Vulnerable Exchange Server Report – The Shadowserver Foundation
• ZDI-26-538 – Zero Day Initiative
• ZDI-26-535 – Zero Day Initiative
• Orange Tsai – About
• Known Exploited Vulnerabilities Catalog – CISA
• Nearly 22,000 Microsoft Exchange servers vulnerable to hijack attacks – BleepingComputer
• Microsoft、2026年8月定例パッチで421件の脆弱性を修正 悪用確認済みゼロデイ1件、公開済み未パッチ2件も – セキュリティ対策Lab
• Microsoft Exchange Serverのゼロデイ脆弱性 CVE-2026-42897がサイバー攻撃へ悪用 – セキュリティ対策Lab