要点
- 自社で動かす Exchange Server 2016 と 2019 は、有料の延長更新も終わり、新しい欠陥が見つかっても修正が出なくなった。
- Microsoft 自身が、これらの版を「permanently vulnerable（恒久的に脆弱）」と考え、すぐ移行するよう求めている。
- メールサーバーは社内への入り口になりやすく、欠陥が悪用されれば被害は重くなりうる。
何が起きたか
Microsoft は Exchange Server 2016 と 2019 のサポートを 2025年10月14日に終えた。そのあと、大口契約の顧客向けに、有料の延長セキュリティ更新（ESU）を出してきた。
この延長は2段階だった。2段階目（Period 2）は 2026年5月から10月までで、Microsoft は「これ以上の延長はない」としていた。Microsoft の告知によると、2026年10月13日に最後の更新が出た。以後、2016 と 2019 向けの更新は出ない。
2026年11月10日のセキュリティ更新は、後継の Exchange Server Subscription Edition（SE）だけが対象だった。Microsoft は同じ投稿で、2016 と 2019 は「もう欠陥の検証もされない」とも書いている。
つまり、今後 2016 や 2019 に欠陥が見つかっても、公式の修正は届かない。しかも、新しい版の修正が公開されると、古い版にも同じ欠陥がないか探す動きが出ることがある。これは一次情報の話ではなく、こちらの見立てだ。
なお、2026年10月の Windows Server 更新で Exchange が不安定になる問題があった。Microsoft は、11月の Windows Server 更新で直ると案内している。
日本の利用者への影響
日本での台数や被害の報告は、確かめられなかった。ただ、オンプレミスの Exchange を使い続ける企業や学校、自治体は日本にもあるとみられる。該当するのは、自前のサーバーで 2016 か 2019 を動かしている組織だ。Microsoft 365 の Exchange Online を使っているだけなら、この話の対象ではない。Microsoft も、Exchange Online の利用者は保護されていると書いている。
今すぐやること
- 自社のメールが、自前のサーバーか、クラウド（Exchange Online）かを確かめる。自前なら、版を調べる。
- 2016 か 2019 だと分かったら、後継の Exchange SE への移行計画を立てる。Microsoft は ESU を買うより移行を強く勧めている。
- 移行までは、メールサーバーをインターネットに出す範囲を絞る。管理画面や不要な機能は外部から見えないようにする。
- 多要素認証（パスワードのほかに本人確認を足す仕組み）を入れ、ログの監視を強める。不審なサインインや新しい管理者の追加に気づける体制にする。
- 自前での運用が重いなら、Exchange Online への移行も選べる。どちらにするか、期限を決めて判断する。
背景
Exchange は、過去に大規模な攻撃を受けたことがある。2021年の ProxyLogon と呼ばれる一連の欠陥では、国内外で広範な悪用が確認された。メールサーバーは外から届く位置にあり、社内の認証情報とも結びつく。そのため攻撃者に好まれる。
サポート終了後の製品は、修正が出ないまま使い続けられる。今回は、Microsoft が「恒久的に脆弱」という強い言葉を使った点が目立つ。
技術者向けの詳細
- 対象: Exchange Server 2016（CU23）、2019（CU14/CU15）。サポート終了は 2025-10-14。
- ESU: Period 2 は 2026年5月〜10月。最終更新は 2026-10-13。以後の更新は SE のみ。
- 後継: Exchange Server Subscription Edition（2025年7月1日に提供開始）。2026-11-10 の更新は SE RTM 向け。
- 版の確認は Exchange 管理シェルで次を使う。
Get-ExchangeServer | Format-List Name,AdminDisplayVersion
- Microsoft が勧める棚卸し: Exchange Server Health Checker スクリプト。
- 更新で不具合が出たら SetupAssist スクリプトを使う。
- ハイブリッド構成では、管理ツールだけの端末にも更新を入れる。
- 詳細は Microsoft の Exchange Team ブログ（下の出典）を参照。
- 注: 報道は 11月の更新に重大な RCE（遠隔コード実行）があったと伝えるが、Microsoft の投稿では CVE の一覧を確認できなかった。Security Update Guide で確認のこと。
