Microsoftが10月にリリースしたWindows更新プログラムにより、一部のExchangeサーバーでメールの配信に問題が生じ、通常のセキュリティメンテナンスが業務に支障を及ぼす可能性のある事態になっている。
Microsoftは、10月13日にリリースされたWindows Serverのセキュリティ更新プログラムによって、一部のオンプレミスExchange Server環境でWebメールへのアクセス、メッセージ配信、メールボックスの可用性に問題が生じる可能性があることを確認した。同社によると、この問題はExchange Server向けに別途リリースされた10月のセキュリティ更新プログラムではなく、Windowsの更新プログラムに起因する。
影響を受けるシステムには、Exchange Server 2016、Exchange Server 2019、Exchange Server Subscription Edition（SE）が含まれる。影響が確認されているWindows Serverの更新プログラムは次の4つだ。
- KB5126646：Windows Server 2025
- KB5126655：Windows Server 2022
- KB5126651：Windows Server 2019
- KB5126868：Windows Server 2016
MicrosoftのExchange Teamによると、影響を受けたサーバーでは、MapiExceptionMdbOfflineエラーが表示され、ApplicationログにEvent ID 1006が記録される場合がある。管理者は、メールキューの増加、Outlook on the web（OWA）へのサインイン失敗、Database Availability Group（DAG）メンバーがクォーラムを維持できない問題にも遭遇する可能性がある。Microsoftによると、深刻度はサーバーのワークロードによって異なり、問題が発生しないシステムもある。
Microsoft、レジストリによる回避策を推奨
MicrosoftのWindowsリリースヘルス通知によると、10月の更新プログラムでは、512件のEndpoint Lookup同時呼び出しに相当するEndpoint Mapperのメモリ上限が導入された。この上限は、高負荷時のExchangeワークロードには不十分な可能性がある。
Endpoint Mapperは、Windowsサービスがリモートプロシージャコール（RPC）接続を確立するための機能だ。Exchangeのワークロードが高負荷になると、既定の上限では不十分になり、最終的にコンポーネント間の通信が妨げられ、メールサービスに影響が及ぶ可能性がある。
MicrosoftのExchange Teamは、Windowsの更新プログラムをアンインストールしないよう推奨している。その代わりに、同時呼び出しの上限を引き上げ、Endpoint Mapperがより多くのメモリを使用できるようにするレジストリによる回避策を推奨している。管理者は、影響を受けたExchangeサーバーで管理者権限のコマンドプロンプトから次のコマンドを実行し、その後サーバーを再起動する必要がある。
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /f
Microsoftによると、同社が支援した顧客事例では、この変更によって問題を解決できることが示されている。管理者は再起動後にサーバーを監視し、問題が再発した場合は上限をさらに引き上げる必要がある。Microsoftは調査を継続する一方で、この問題を緩和済みとしている。影響を受けた組織向けには、Microsoft Supportを通じた追加の緩和策も提供されている。
セキュリティ担当者とExchange管理者が確認すべき点
従業員は、Outlook on the webでサインインできない、メッセージが送信トレイに残ったままになる、メール配信が大幅に遅くなるといった問題に遭遇する可能性がある。サーバーの再起動後に一時的に復旧しても、問題が解消したとは限らない。
セキュリティチームが管理する 10月のPatch Tuesday更新の場合、実務上の課題はセキュリティ保護を維持しながらメールの可用性を回復することだ。回避策を適用して再起動した後、管理者はWebメールへのアクセスとメッセージ配信をテストし、通常のワークロードでメールキュー、Applicationログ、DAGの健全性を監視する必要がある。
管理者は パッチ管理手順の一環として、代表的なメールトラフィックに対して更新プログラムをテストする必要がある。障害の発生はサーバーの負荷に左右されるため、当初問題がないサーバーでも、問題が解決したことの証明にはならない。レジストリによる回避策は、インストール済みのセキュリティ更新プログラムとは別に記録する必要がある。 パッチ管理と脆弱性管理は、関連するものの別個の責任範囲を担う。設定変更を記録し、さらなる調整を行う前にMicrosoftのガイダンスを確認する必要がある。
Exchange Server 2016および2019は、2025年10月14日にサポート終了を迎えた。MicrosoftのPeriod 2 Extended Security Updateプログラムに登録している組織は、2026年10月末までリリースされるセキュリティ更新プログラムの対象となる。管理者は、当面の復旧作業と併せて、自組織の対象状況と移行計画を確認する必要がある。Microsoftの当面の助言は、可用性の問題をセキュリティ上の露出リスクと引き換えにするのではなく、Windowsのセキュリティ更新プログラムを保持し、文書化された緩和策を適用することだ。
続きを読む： Ciscoの重大なSmart Software Manager On-Premの修正内容と、アップグレード前に管理者が行うべきリリースチェックを確認して、Exchange以外にもインフラのパッチレビューを広げよう。