この記事でわかること
- 悪用が確認されたOutlookの脆弱性「CVE-2026-124194」で起きること
- 影響を受けるOffice製品と、修正済みのビルド
- Windows Updateとは別に、Officeを更新して確かめる方法
悪用確認済みのOutlookの脆弱性を、11月の月例更新で修正
Microsoftは2026年11月10日（米国時間）の月例セキュリティ更新で、Outlookの脆弱性「CVE-2026-124194」を修正しました。名称は「Microsoft Outlook のなりすましの脆弱性」です。修正の公開前から攻撃に悪用されていたことをMicrosoftが確認しており、今月の更新で悪用確認済みとされているのはこの1件だけ。
深刻度は4段階で上から3番目の「警告」（Moderate）、CVSSの基本値は6.5です。数字だけを見ると後回しにしたくなりますが、すでに実際の攻撃で使われている点で、ほかの脆弱性とは扱いが変わります。米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）も11月10日に、悪用が確認された脆弱性のカタログ（KEV）へ追加しました。
Microsoftの説明はセキュリティ更新プログラム ガイドのCVE-2026-124194のページ（英語）にまとめられています。
細工されたファイルを開くと、警告なしで認証情報が漏れる
Microsoftによると、攻撃者は細工したメッセージファイルを送りつけ、影響を受けるOutlookで開かせます。ファイルを開いたOutlookは、外部のコンテンツに接続するときに通常出す警告を表示しないまま、攻撃者が用意したネットワーク上の場所へ接続してしまいます。
この接続で漏れるのが、Windowsの認証に使われるNTLMv2ハッシュ。攻撃者はこれを使い、そのユーザーとして認証できるおそれがあります。名称の「なりすまし」から送信元の偽装を想像しがちですが、Microsoftが説明している被害は、漏れたハッシュを使った認証のほうです。
プレビューウィンドウは攻撃経路ではない、ともMicrosoftは説明しています。受信したメールを閲覧ウィンドウで表示しただけでは成立せず、利用者がファイルを開く操作が必要です。
対象はMicrosoft 365 AppsとOffice LTSC 2021／2024
Microsoftが影響を受ける製品として挙げているのは、次の3つです。いずれも32ビット版と64ビット版が対象です。
- Microsoft 365 Apps for Enterprise
- Office LTSC 2021
- Office LTSC 2024
修正済みのビルドは、Office LTSC 2024がバージョン2408（ビルド17932.21140）、Office LTSC 2021がバージョン2108（ビルド14334.21048）。Microsoft 365 Appsは更新チャネルごとにビルドが分かれ、ここで挙げた番号のうちバージョン2610（ビルド20527.20196）は、毎月機能更新が届く「最新チャネル」向けです。月次エンタープライズ チャネルなど、ほかのチャネルの修正済みビルドは、MicrosoftのMicrosoft 365 Appsのセキュリティ更新リリースノート（英語）に、11月10日分としてチャネル別の表で掲載されています。
家庭向けのMicrosoft 365でデスクトップ版のOutlookを使っている場合も、次の手順でOfficeが最新かどうかを確かめられます。
Windows Updateでは直らない、Officeの更新を確認
今回いちばん気をつけたいのは、修正の届き方です。Outlookの修正はWindowsの累積更新ではなく、Officeの更新で配られます。Windows Updateで「最新の状態です」と表示されていても、Officeが古いままなら脆弱性は残ります。
Officeは通常バックグラウンドで自動更新されますが、反映までに数日かかることもあります。悪用が確認されている今回は、自動更新を待たずに手動で更新するのが早道です。
- Outlookで［ファイル］→［Office アカウント］を開く（WordやExcelでは［ファイル］→［アカウント］）
- ［更新オプション］→［今すぐ更新］を選ぶ
- Officeアプリを閉じるよう求められたら、作業中のファイルを保存してから閉じる
更新後は、同じ画面の製品情報に表示されるバージョンとビルドを確かめます。照合先は、上のリリースノートにある11月10日分の表のうち、自分の更新チャネルの行です。Office LTSC 2021／2024はそれぞれの製品名の行と見比べてください。
［更新オプション］が見当たらない、または選べない場合は、会社や学校がOfficeの更新を管理していることが多く、自分では更新できません。管理者へ、CVE-2026-124194の修正を含む11月の更新が配布済みかを確認してください。
更新が済むまでは、心当たりのないファイルを開かない
Microsoftはこの脆弱性について、更新以外の回避策を示していません。Officeの更新が終わるまでは、心当たりのないメッセージファイルや添付ファイルを開かないことが、利用者側でできる現実的な対策です。
知っている送信者の名前でも、予告なく届いたファイルは開く前に一度立ち止まったほうがいい。今回の攻撃は、ファイルを開かせるところから始まります。
