Microsoft 11月の月例更新、悪用されたOutlookの脆弱性を修正

マイクロソフトは米国時間の11月10日、日本時間の11月11日に、11月の月例のセキュリティ更新を公開しました。この中の Outlook の脆弱性 CVE-2026-124194 は、更新の公開前から悪用が確認されています。Windows だけでなく Office にも更新が要るので、両方を確かめてください。

やること

Windows のパソコンとサーバーには、Windows Update で11月の更新を当ててください。Microsoft Update カタログからも入手できます。IPA によると、更新の適用には再起動が必要になることがあります。再起動を求める表示が残ったままのパソコンがないかも見てください。

Office は Windows とは別に更新されます。Microsoft 365 Apps の Current Channel では、バージョン 2610 のビルド 20527.20196 が11月10日の更新です。Office LTSC 2024 は 17932.21140、Office LTSC 2021 は 14334.21048 のビルドが修正版にあたります。Outlook や Word の「ファイル」から「アカウント」を開くと、今のバージョンとビルドが出ます。番号が古ければ、同じ画面の更新のボタンから更新してください。

更新の管理を担当者が手で行っている会社には、IPA が早めの展開を求めています。

何が危ないのか

CVE-2026-124194 は Outlook のなりすましの脆弱性です。マイクロソフトの説明では、攻撃者は細工したメッセージのファイルを送り、利用者に Outlook で開かせます。開くと、Outlook はふだん出る外部コンテンツの警告を出さずに、攻撃者が用意したサーバーへ接続することがあり、その際に NTLMv2 ハッシュが攻撃者に渡ります。NTLMv2 ハッシュは Windows のログインの確かめに使う値で、攻撃者はこれを使って利用者になりすます恐れがあります。

攻撃者に認証は要りません。ただし利用者がファイルを開く操作が必要で、プレビューウィンドウに表示しただけでは攻撃は成立しないとされています。CVSS は 6.5 で、マイクロソフトの4段階の深刻度では下から2番目です。それでも米国の CISA は11月10日に悪用が確認された脆弱性の一覧（KEV）に加え、米国の政府機関には11月24日までの対応を求めています。

緊急の脆弱性

マイクロソフトのブログでは、Windows 11、Windows Server 2016 から 2025、Office、Exchange の最大深刻度が「緊急」で、いずれもリモートでコードを実行される種類です。同社の機械向けのデータ（CVRF）で数えると、同社が番号を付けた脆弱性は1,095件で、うち「緊急」は64件でした。悪用が確認されたものは CVE-2026-124194 の1件だけです。

Office では Word、Excel、Outlook などのコード実行が「緊急」に入っています。たとえば Outlook の CVE-2026-110043 は、細工したメールをプレビューウィンドウに表示させるだけで攻撃が成立しうるとされています。Exchange Server Subscription Edition の CVE-2026-118207 は、権限の低いアカウントを持つ攻撃者が、利用者の操作なしにサーバー上でコードを実行できるもので、マイクロソフトは悪用される可能性が高いと評価しています。

対象

CVE-2026-124194 の対象は、Microsoft 365 Apps for Enterprise、Office LTSC 2024、Office LTSC 2021 の各32ビット版と64ビット版です。Windows の更新番号は上の表のとおりで、ブログには Windows 11 の各版と Windows Server 2016 から 2025 の番号が載っています。Windows 10 22H2 の番号は CVRF にあるものです。

Microsoft Edge は公開の日程が月例と違うため、マイクロソフトは別に確かめるよう案内しています。次の月例更新は米国時間の12月8日の予定です。

中小企業が学べること

今月悪用された欠陥は Windows ではなく Office の側にあります。Office は製品の種類によって版の番号も更新の経路も違うので、パソコンごとに Office の種類とビルドを一覧にしておくと、毎月の確かめが楽になります。

先月も、悪用された Windows シェルの欠陥が月例更新で直りました（Windowsの警告を回避する脆弱性が悪用、10月の更新で修正）。2か月続けて、細工したファイルを開かせる形の攻撃です。見覚えのない相手から届いた添付ファイルは、開く前に別の手段で送り主に確かめるよう、社内に改めて伝えてください。