2026年6月Windows月例更新の要点と対応

【更新 2026-07-28】本記事を見直し、修正しました。主な修正点：CVE-2026-42897 は2026年6月の月例更新で初めて公表された脆弱性ではなく、2026年5月14日（現地時間）に公表された時点で既に悪用が確認されていたゼロデイ（CISA KEV登録済み）であり、恒久的な修正が6月のセキュリティ更新で提供されたという経緯を明確化しました。あわせて影響を受けるバージョンと、2026年7月のセキュリティ更新適用後は緩和策の継続適用が推奨されなくなった旨（Microsoft）を追記しています。

2026年6月10日、Microsoftが月例のセキュリティ更新プログラムを公開しました。中でもExchange Server のなりすましの脆弱性（CVE-2026-42897）は悪用が確認されており、Exchangeを自社運用している組織は早急な更新適用が必要です。情報システム部門としては、対象範囲の洗い出しと適用の優先順位付けが当面の仕事になります。

この記事でわかること

2026年6月の月例更新で特に注意すべき脆弱性
悪用が確認されているExchangeの脆弱性(CVE-2026-42897)の位置づけ
限られた人員でパッチ適用をどう回すか（優先順位の考え方）

2026年6月の月例更新で何が公開されたか
悪用が確認されたExchangeの脆弱性とは？
現場目線：毎月のパッチ適用という地道な戦い
その後の状況（2026年7月時点）
まとめ
出典

2026年6月の月例更新で何が公開されたか

Microsoftは毎月第2火曜（日本時間では水曜）に複数の脆弱性をまとめて修正します。今月の更新で実務上もっとも優先度が高いのは、すでに悪用が確認されているExchange Serverの脆弱性です。

項目	内容
公開日	2026年6月10日（JPCERT/CC注意喚起）
特に注意	CVE-2026-42897：Microsoft Exchange Server の「なりすまし」の脆弱性
CVEの公表日	2026年5月14日（現地時間）。公表時点で悪用が確認されたゼロデイ（CISA KEVに2026年5月15日登録、対応期限2026年5月29日）
影響を受ける製品	オンプレミスの Exchange Server 2016 / 2019 / Subscription Edition (SE)（Exchange Online は対象外）
悪用	あり（悪用が確認済み）
対応	Windows Update / Microsoft Update でセキュリティ更新を適用

悪用が確認されたExchangeの脆弱性とは？

CVE-2026-42897は、オンプレミスのExchange Serverに存在する「なりすまし（spoofing）」の脆弱性で、すでに攻撃に悪用されています。メールサーバは社内外の通信が集まる要であり、侵害されればなりすましや情報窃取の足がかりになりかねません。Exchangeをオンプレミスで運用している組織は、最優先で更新を検討してください。

補足として経緯を整理しておきます。この脆弱性は6月の月例更新で新たに判明したものではなく、2026年5月14日（現地時間）にMicrosoftが公表した時点で、すでに悪用が確認されていたゼロデイです。CISAは翌5月15日にKEV（悪用が確認された脆弱性カタログ）へ追加し、米連邦機関に5月29日までの対処を求めました。技術的には Outlook Web Access (OWA) のページ生成におけるクロスサイトスクリプティング（XSS）で、細工されたメールをOWAで開くなどの条件が揃うとブラウザ上で任意のJavaScriptが実行され、なりすましにつながります。Microsoftの評価はCVSS 8.1です。公表当初は恒久的な修正が無く、Exchange Emergency Mitigation Service (EEMS) による自動緩和策が提供され、恒久的な修正は6月9日（現地時間）＝日本時間6月10日のセキュリティ更新で提供されました。5月の時点で緩和策だけを適用して止まっている組織は、更新プログラムの適用が完了しているか改めて確認してください。

現場目線：毎月のパッチ適用という地道な戦い

正直なところ、月例更新の適用は「地味で終わりのない作業」です。すべての更新を即日適用できれば理想ですが、業務システムとの互換性検証や再起動のタイミング調整があり、現実にはそう簡単ではありません。だからこそ、「悪用が確認されているもの」「インターネットに露出している重要サーバ」から優先して当てるという割り切りが要ります。すべてを完璧にやろうとして全体が止まるより、危険なものから順に潰していく運用のほうが現実的です。

適用の判断材料としては、提供元の一次情報が確実です。下記の注意喚起で対象や深刻度を確認したうえで、自社の優先順位に落とし込んでください。

その後の状況（2026年7月時点）

Microsoftは2026年7月のセキュリティ更新プログラムもリリースしており、日本のExchangeサポートチームは2026年7月15日の更新で、7月の更新プログラムをインストールした後は、CVE-2026-42897 の緩和策を継続して適用しておくことを推奨する必要がなくなると案内しています。逆に言えば、7月の更新をまだ適用していない環境では緩和策を外してはいけません。適用状況と緩和策の要否は必ずセットで確認してください。

まとめ

2026年6月の月例更新では、Exchangeのなりすまし脆弱性(CVE-2026-42897)が悪用確認済みで最優先。同脆弱性は5月14日公表のゼロデイで、恒久修正が6月の更新で提供された。
すべてを即適用は難しい。悪用確認済み・外部露出の重要サーバから優先するのが現実解。
対象・深刻度はJPCERT/CC・IPAの一次情報で確認し、自社の優先順位に落とし込む。