Microsoft Exchange Server OWA のクロスサイトスクリプティング（実際に悪用・KEV）

Medium（CVSS 6.1）に分類されるMicrosoft Exchange Server（オンプレミス / Outlook on the web）の脆弱性です。オンプレミスの Microsoft Exchange Server の Outlook on the web（OWA）でのページ生成時に入力の無害化が不十分で、クロスサイトスクリプティングが成立する。利用者が細工されたコンテンツを開く等の操作（UI:R）を伴うと、ブラウザのコンテキストで任意の JavaScript が実行され、なりすまし（スプーフィング）やセッション・メール内容の窃取につながりうる（CVSS 8.1 High）。CISA は KEV に追加しており、実際の悪用が確認されている。Exchange Online（Microsoft 365）は対象外で、オンプレミス Exchange が対象。 【2026-08-01・掲載スコアの改定（#310）】NVD の primary 評価が CVSS 6.1（Medium）へ下方改定された（従来の掲載値は 8.1）。ただし CISA KEV に収載されたままで、実際の悪用が確認されている状態は変わっていない。スコアは攻撃の性質を測るものであり、悪用されている事実とは別の軸である。当サイトは #310 で掲載基準を「CVSS 7.0 以上 **または** KEV 収載」に改め、本エントリの掲載を維持する。

Microsoft が公開している該当の Exchange Server セキュリティ更新（SU）を適用する。適用までは OWA の外部公開を制限し、必要に応じて WAF で不審なスクリプト注入を遮断、利用者には不審なメールの Web 表示を控えるよう周知する。Exchange Online のみの利用環境は対象外。

Microsoft Exchange Server（オンプレミス / Outlook on the web） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-42897）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/29 です。推奨される対応: Microsoft の指示に従い更新を適用（クラウドは該当BODガイダンスに従う。緩和不能なら利用停止）。