米当局、「Exchange Server」ゼロデイ脆弱性に注意喚起

米当局は、「Microsoft Exchange Server」に判明したゼロデイ脆弱性について注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年5月15日、「悪用が確認された脆弱性カタログ（KEV）」に「Microsoft Exchange Server」の脆弱性「CVE-2026-42897」を追加した。

同脆弱性は、「Exchange Server」の「Outlook Web Access」におけるウェブページ生成処理に確認されたクロスサイトスクリプティングの脆弱性。

同脆弱性はウェブメールの利用時に影響があり、一定の操作が行われると、ブラウザ上で任意のJavaScriptを実行されるおそれがある。すでに実際の攻撃で悪用が確認されている。

マイクロソフトでは同月14日にアドバイザリを公開。セキュリティ更新プログラムの提供に向けて準備を進めているが、同月17日の時点で定例外パッチなどは提供されていない。

CISAは、同月29日を期限とし、米国内の行政機関に対してベンダーが示した対策を講じるか、クラウドサービスに関するガイダンス「BOD 22-01」を実施し、対策が利用できない場合は使用を中止するよう求めている。

（Security NEXT - 2026/05/18 ）ツイート