# Microsoft 11月の月例更新、悪用されたOutlookの脆弱性を修正

- 分類: 脆弱性情報
- 公開日: 2026年11月11日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-11-microsoft-november-2026-update/
- タグ: Windows、Microsoft、月例更新、Outlook、CVE-2026-124194、悪用確認

> マイクロソフトは日本時間11月11日に月例更新を公開し、悪用が確認された Outlook のなりすましの脆弱性 CVE-2026-124194 を修正しました。Windows と Office の両方に更新を当て、版を確かめてください。

## 脆弱性の概要

| 項目 | 内容 |
| --- | --- |
| 対象 | Outlook |
| 深刻度 | 注意 |
| CVSS | 6.5 |
| 悪用 | あり（確認済み） |
| 影響 | 認証の情報を盗まれ、利用者になりすまされる |
| 修正版 | 修正版あり |
| 公表元 | Microsoft / JPCERT/CC / IPA |

### 影響を受ける製品

| 製品 | 対象のバージョン | 修正版 |
| --- | --- | --- |
| Microsoft 365 Apps（Current Channel） | 11月10日の更新より前 | バージョン 2610（ビルド 20527.20196） |
| Office LTSC 2024 | 11月10日の更新より前 | 16.0.17932.21140 |
| Office LTSC 2021 | 11月10日の更新より前 | 16.0.14334.21048 |
| Windows 11 26H2・25H2・24H2 | 11月の更新より前 | KB5132061（ホットパッチは KB5132043） |
| Windows 11 26H1 / 23H2 | 11月の更新より前 | KB5132059 / KB5131087 |
| Windows 10 22H2 | 11月の更新より前 | KB5131096 |
| Windows Server 2025 / 2022 / 2019 / 2016 | 11月の更新より前 | KB5131080 / KB5131090 / KB5131085 / KB5131291 |

マイクロソフトは米国時間の11月10日、日本時間の11月11日に、11月の月例のセキュリティ更新を公開しました。この中の Outlook の脆弱性 CVE-2026-124194 は、更新の公開前から悪用が確認されています。Windows だけでなく Office にも更新が要るので、両方を確かめてください。

## やること

Windows のパソコンとサーバーには、Windows Update で11月の更新を当ててください。Microsoft Update カタログからも入手できます。IPA によると、更新の適用には再起動が必要になることがあります。再起動を求める表示が残ったままのパソコンがないかも見てください。

Office は Windows とは別に更新されます。Microsoft 365 Apps の Current Channel では、バージョン 2610 のビルド 20527.20196 が11月10日の更新です。Office LTSC 2024 は 17932.21140、Office LTSC 2021 は 14334.21048 のビルドが修正版にあたります。Outlook や Word の「ファイル」から「アカウント」を開くと、今のバージョンとビルドが出ます。番号が古ければ、同じ画面の更新のボタンから更新してください。

更新の管理を担当者が手で行っている会社には、IPA が早めの展開を求めています。

## 何が危ないのか

CVE-2026-124194 は Outlook のなりすましの脆弱性です。マイクロソフトの説明では、攻撃者は細工したメッセージのファイルを送り、利用者に Outlook で開かせます。開くと、Outlook はふだん出る外部コンテンツの警告を出さずに、攻撃者が用意したサーバーへ接続することがあり、その際に NTLMv2 ハッシュが攻撃者に渡ります。NTLMv2 ハッシュは Windows のログインの確かめに使う値で、攻撃者はこれを使って利用者になりすます恐れがあります。

攻撃者に認証は要りません。ただし利用者がファイルを開く操作が必要で、プレビューウィンドウに表示しただけでは攻撃は成立しないとされています。CVSS は 6.5 で、マイクロソフトの4段階の深刻度では下から2番目です。それでも米国の CISA は11月10日に悪用が確認された脆弱性の一覧（KEV）に加え、米国の政府機関には11月24日までの対応を求めています。

## 緊急の脆弱性

マイクロソフトのブログでは、Windows 11、Windows Server 2016 から 2025、Office、Exchange の最大深刻度が「緊急」で、いずれもリモートでコードを実行される種類です。同社の機械向けのデータ（CVRF）で数えると、同社が番号を付けた脆弱性は1,095件で、うち「緊急」は64件でした。悪用が確認されたものは CVE-2026-124194 の1件だけです。

Office では Word、Excel、Outlook などのコード実行が「緊急」に入っています。たとえば Outlook の CVE-2026-110043 は、細工したメールをプレビューウィンドウに表示させるだけで攻撃が成立しうるとされています。Exchange Server Subscription Edition の CVE-2026-118207 は、権限の低いアカウントを持つ攻撃者が、利用者の操作なしにサーバー上でコードを実行できるもので、マイクロソフトは悪用される可能性が高いと評価しています。

## 対象

CVE-2026-124194 の対象は、Microsoft 365 Apps for Enterprise、Office LTSC 2024、Office LTSC 2021 の各32ビット版と64ビット版です。Windows の更新番号は上の表のとおりで、ブログには Windows 11 の各版と Windows Server 2016 から 2025 の番号が載っています。Windows 10 22H2 の番号は CVRF にあるものです。

Microsoft Edge は公開の日程が月例と違うため、マイクロソフトは別に確かめるよう案内しています。次の月例更新は米国時間の12月8日の予定です。

## 中小企業が学べること

今月悪用された欠陥は Windows ではなく Office の側にあります。Office は製品の種類によって版の番号も更新の経路も違うので、パソコンごとに Office の種類とビルドを一覧にしておくと、毎月の確かめが楽になります。

先月も、悪用された Windows シェルの欠陥が月例更新で直りました（[Windowsの警告を回避する脆弱性が悪用、10月の更新で修正](/articles/2026-10-13-windows-shell-motw-bypass/)）。2か月続けて、細工したファイルを開かせる形の攻撃です。見覚えのない相手から届いた添付ファイルは、開く前に別の手段で送り主に確かめるよう、社内に改めて伝えてください。

## 自社で確かめること

1. **Office の版を見る**：Outlook や Word の「ファイル」から「アカウント」を開き、バージョンとビルドが11月10日の更新の番号以上になっているかを見てください。
2. **Windows Update の履歴を見る**：設定の Windows Update にある更新の履歴に11月の更新が入っているかと、再起動待ちで止まっているパソコンがないかを確認してください。
3. **社内の Exchange を洗い出す**：自社でメールサーバーの Exchange Server を動かしている場合は、Exchange チームの案内を見て、Windows とは別に更新を当ててください。

## 出典

- [JPCERT/CC「2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起」](https://www.jpcert.or.jp/at/2026/at260035.html)
- [IPA「Microsoft 製品の脆弱性対策について(2026年11月)」](https://www.ipa.go.jp/security/security-alert/2026/1111-ms.html)
- [Microsoft「2026年11月のセキュリティ更新プログラム（月例）」](https://www.microsoft.com/msrc/blog/2026/11/202611-security-update)
- [Microsoft「November 2026 Security Updates」（CVRF）](https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Nov)
- [Microsoft「Release notes for Microsoft Office security updates」](https://learn.microsoft.com/en-us/officeupdates/microsoft365-apps-security-updates)
- [CISA「CISA Catalog of Known Exploited Vulnerabilities」](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json)