Microsoft Microsoft のクロスサイトスクリプティングの脆弱性（CVE-2026-42897）

何が起きた

Microsoft Exchange Server（会社などで使うメールサーバー）の Outlook Web Access（OWA、ブラウザーでメールを読む画面）に、クロスサイトスクリプティングの弱点が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で権限を持たない攻撃者が悪用できますが、被害者の操作が必要です。Microsoft によると、攻撃者が細工したメールを送り、利用者がそれを OWA で開いて一定の条件がそろうと、ブラウザーの中で任意の（攻撃者が好きに選べる）JavaScript が実行されるおそれがあります。Microsoft はこの弱点を、なりすましの脆弱性として扱っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Exchange Server Subscription Edition RTM、Exchange Server 2019 Cumulative Update 15 と Cumulative Update 14、Exchange Server 2016 Cumulative Update 23 を使っている組織が対象です。OWA を Internet Explorer や Microsoft Edge の IE モードで開いている場合は、Microsoft の緩和策でも守られないとされています。

何をすればいい

Microsoft は、2026年7月のセキュリティ更新プログラムをできるだけ早く入れるよう勧めています。更新プログラムは、Exchange Server Subscription Edition RTM が KB5094139、Exchange Server 2019 Cumulative Update 15 が KB5094140、Exchange Server 2019 Cumulative Update 14 が KB5094142、Exchange Server 2016 Cumulative Update 23 が KB5094144 です。更新までは、緊急の緩和策を自動で当てる Exchange Emergency Mitigation Service（EEMS）が有効になっているか確かめてください。Microsoft の公式の案内を確認してください。

やることチェックリスト

• 2026年7月のセキュリティ更新を入れる
• 更新までは EEMS が有効か確認する
• OWA を IE や IE モードで開かないようにする

用語メモ

クロスサイトスクリプティング

ウェブページに不正なスクリプトを紛れ込ませ、見た人のブラウザーで動かしてしまう攻撃や、その原因となる弱点のことです。

JavaScript

ウェブページの中で動く、ブラウザー向けのプログラム言語です。

IE モード

Microsoft Edge の中で、Internet Explorer 向けに作られた古いサイトを表示するための機能です。