Microsoft Exchange Server に信頼できないデータの逆シリアル化（CVE-2023-21529）― 認証済み攻撃者による遠隔コード実行、ランサムウェアでの悪用も確認
メール基盤 Microsoft Exchange Server に、信頼できないデータの逆シリアル化(CWE-502)の脆弱性。認証済みの攻撃者が遠隔から任意のコードを実行できる。ランサムウェア攻撃での悪用が確認されており、CISAが2026年4月13日にKEVへ追加。NVDに掲載されたCVSSは8.8（HIGH）。
脆弱性の基本情報
- CVE番号CVE-2023-21529
- CVSS基本値8.8 HIGH
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）Microsoft Exchange Server
- CWECWE-502
- 悪用状況CISA KEV 掲載（実際の悪用を確認）／ランサムウェアでの悪用も確認
- 是正期限2026-04-27（米連邦民生機関・BOD 22-01）
要点
「逆シリアル化」とは、保存や通信のために一列のデータへ変換（シリアル化）されたものを、プログラムが元のオブジェクト（データのかたまり）へ復元する処理を指す。ここに「信頼できないデータ」、つまり攻撃者が細工した入力を流し込むと、復元の過程で攻撃者の意図した処理が動く余地が生まれる。
これが逆シリアル化（CWE-502）の脆弱性で、細工した“もの”を送り込むだけでサーバ側にコードを実行させうる、影響の大きい類型だ。本件はこれが Microsoft Exchange Server 上で起こりうるとされる。
ベクトル（CVSS:3.1 AV:N/AC:L/PR:L/UI:N …）のうち PR:L は、攻撃の成立に何らかの権限（ログイン）が要ることを示す。一見すると「認証が要るなら安全」に思えるが、現実の攻撃では、フィッシングや使い回しパスワードの窃取などで低い権限のアカウントを先に手に入れ、それを踏み台に本件のような脆弱性で権限を広げる、という段取りが常道になっている。「認証済み限定」は安心材料にはならない。
重要なのは、本件がランサムウェア攻撃での悪用が確認済み（CISAの記録で既知のランサムウェア利用）である点だ。Exchange はメールという組織の生命線を担い、過去にも ProxyLogon／ProxyShell など大規模事件の舞台となってきた。メール基盤を掌握されれば、機密のやり取りの窃取から、なりすまし送信、他システムへの横展開まで被害が広がる。
2023年公表の脆弱性が2026年にKEV入りした事実は、パッチ未適用のExchangeが今も現実の標的であり続けていることを示している。対応はMicrosoftの案内に沿った更新で、CISAは是正期限を2026年4月27日に設定している。
なぜ重要か
メール基盤の掌握は、機密情報の窃取・なりすまし送信・他システムへの横展開に直結し、組織全体に影響が及ぶ。本件はランサムウェア攻撃での悪用が確認されており、被害が事業停止に至る現実的な経路を持つ。「認証済み限定」という条件は、初期侵入で得た低権限アカウントの踏み台化という常道の前では防御の理由にならない。パッチ未適用のExchangeを残さないこと、資格情報の使い回し・漏えい対策と併せた多層防御が要点となる。
よくある質問（FAQ）
逆シリアル化の脆弱性とは何ですか。
認証が必要なら危険は低いのではないですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。