Exchange Online の Outlook on the Web(OWA)に存在するクロスサイトスクリプティング(XSS)脆弱性CVE-2026-42897が、ロシア系国家関与ハッカー集団「Laundry Bear」(別名Void Blizzard、Proofpointの追跡名でTA488)によってゼロデイとして悪用されていたことが、Proofpointの調査で明らかになった。狙いはメールボックスへの長期的な不正アクセスを実現するバックドア「OWAReaper」の設置だ。

「半クリック」で感染するXSSの仕組み

CVE-2026-42897は、OWAがメール本文のHTMLを適切にサニタイズしないことに起因する脆弱性だ。細工されたメールを受信者がOWAで開くだけでブラウザ上でJavaScriptが実行される。添付ファイルも不審なURLリンクも使わないため、Proofpointはこの手口を「半クリックエクスプロイト」と呼ぶ。件名や本文は「サプライチェーン分析」「観光・ガス市場の業績指標」といった業務上ありがちな話題に偽装されており、受信者が不審に思わず既読スルーしてしまう設計になっている。

悪性のJavaScriptローダーとBase64エンコードされたペイロードは、メール内のソーシャルメディアアイコンのURLの「#」以降に隠されており、通常の表示からは気づきにくい。

Microsoftは2026年5月14日付のアドバイザリでCVE-2026-42897を公表したが、Proofpointの分析によれば、Laundry Bearは3月時点で既に攻撃インフラを構築しており、公表の約2カ月前からゼロデイとして悪用していたことになる。標的には米国・欧州の政府機関のほか、通信・金融・ホスピタリティ・航空宇宙分野の企業が含まれる。

バックドア「OWAReaper」の巧妙さ

OWAReaperは、Laundry Bearが以前Zimbraメールサーバーの別のXSS脆弱性(CVE-2025-66376)を悪用して展開していたマルウェア「ZimReaper」の進化版とされる。Proofpointは「半クリックエクスプロイトで配信されたものの中で最も高度なバックドア」と評しており、実行はOWAの閲覧ペイン内で完結する。

起動するとOutlook APIを使ってExchangeサーバー上のメール本文を書き換え、悪用のトリガーとなったHTMLコードそのものを自ら消去する。同時にOWAのポップアップ表示と右クリックを無効化し、痕跡と操作の両方を封じる。さらにDOM上に不可視の入力欄を仕込み、ブラウザの自動入力機能を悪用してアカウントの認証情報を窃取する挙動も確認されている。

資格情報のローテーションだけでは防げない永続化

今回の調査で特に注目すべきは、Laundry BearがOWAReaperを通じて、端末をクリーンな状態に復元しても、あるいはパスワードを変更してもメールボックスへのアクセスを維持できる点だ。ReadWriteMailbox権限を持つOutlookアドインの存在を悪用し、正規の拡張機能に見せかけた形でアクセス経路を確保しているとみられる。

なぜこれが重要か

Exchange Onlineおよびオンプレミス版OWAは日本企業でも広く使われており、この種の攻撃は特定の国・業界に限定される話ではない。今回の手口が示すのは、「パスワードを変更すれば安全」という前提がもはや成り立たないという点だ。攻撃者が正規のOutlook API経由でメールボックス内のオブジェクト(この場合はアドイン)を操作できる限り、認証情報のローテーションだけでは侵害の根を断てない。

実務での活用ポイント

まずMicrosoft 365管理者は、CVE-2026-42897に対するMicrosoftの修正が環境に適用済みかを確認する。次に、ReadWriteMailbox権限を持つOutlookアドインの棚卸しを行い、心当たりのない、または利用実態のないアドインを洗い出して削除する。これは平時からの定期監査に組み込む価値がある作業だ。

さらに、資格情報の侵害が疑われる場合はパスワードのリセットだけで終わらせず、アドインの登録状況、メールボックスの転送・受信トレイルール、サインインログを合わせて点検する必要がある。侵害後の復旧を「パスワード変更」の一手で完結させる運用は、今回のような手口の前では不十分だと認識しておきたい。

出典: この記事は Russian hackers exploit Exchange OWA zero-day for long-term mailbox access の内容をもとに、筆者の見解を加えて独自に執筆したものです。