マイクロソフトが2026年11月のセキュリティ更新を公開、Outlookの脆弱性は悪用確認

マイクロソフト製品の脆弱性を修正する2026年11月のセキュリティ更新プログラムが公開されました。修正対象には既に悪用されているOutlookの脆弱性があり、細工されたメッセージファイルを開くと、警告が表示されないまま認証情報が漏えいする可能性があります。

Outlookで警告が表示されず外部サーバーに接続

悪用が確認されているのは、メールソフトOutlookのなりすましの脆弱性「CVE-2026-124194」です。細工されたメッセージファイルをOutlookで開くと、通常表示される警告が出ずに攻撃者が管理するサーバーへ接続し、認証情報が漏えいする可能性があります。

この脆弱性は、安全でない操作について利用者に警告しない問題を指す「CWE-356」に分類されています。今回の月例更新で修正される脆弱性には、悪用されると遠隔から任意のコードを実行されたり、機微な情報が漏えいしたりする可能性があるものも含まれます。

JPCERT/CCが示した対策は、Microsoft UpdateやWindows Updateなどを通じたセキュリティ更新プログラムの適用です。

Officeの更新方法はインストール方式で異なる

Officeのインストール方式には、Windowsインストーラーを使う「MSI形式」と、Office独自の仕組みで更新する「クイック実行形式（C2R）」があります。MSI形式ではMicrosoft Updateや個別の更新プログラムで更新できます。C2R形式では、Officeアプリの「更新オプション」から「今すぐ更新」を選ぶと、利用中の更新チャネルに対応する最新版をダウンロードしてインストールします。

方式を識別するには、Officeアプリの「ファイル」から「アカウント」を開きます。「更新オプション」ボタンがある場合はC2R形式、ない場合はMSI形式です。Excelでは、製品情報の下に「Office更新プログラム」と「Excelのバージョン情報」が並ぶか、「Excelのバージョン情報」だけが表示されるかでも判別できます。

Office LTSC 2024は、Microsoft Updateや、組織内で更新を配信するWindows Server Update Services（WSUS）だけで更新する仕組みではありません。既定ではOfficeのコンテンツ配信ネットワーク（CDN）から更新を自動取得し、組織の設定によっては内部ネットワークの共有フォルダーなどを取得先にできます。

Office LTSC 2024の更新は累積方式で、最新ビルドには過去のセキュリティ更新と品質更新が含まれます。手動で更新を確認するには、WordなどのOfficeアプリで「ファイル」「アカウント」「更新オプション」「今すぐ更新」と進みます。更新が見つかるとダウンロードが始まり、インストール時にOfficeアプリが開いていれば、作業を保存して閉じるよう求められます。

外部に漏れた認証情報が悪用される経路

関連する過去の事例として、Windowsで使われる認証方式「NTLM」でも、ファイル操作をきっかけに認証情報が外部へ送信される脆弱性が悪用されています。

2025年の「CVE-2025-24054」では、細工された「.library-ms」ファイルを含むZIPファイルをエクスプローラーで展開すると、NTLMの認証に使われるハッシュ値「NTLMv2-SSP」が外部へ自動送信される可能性がありました。ハッシュ値が漏えいすると、認証通信を別の接続先へ中継するリレー攻撃や、候補を総当たりするブルートフォース攻撃によって認証を突破されるリスクがあります。

NTLMリレーの悪用例には、サーバーの認証を証明書発行の仕組みに中継する侵入もあります。Microsoft Threat Intelligenceが調査した事例では、攻撃者がWindowsサーバーを攻撃者側のシステムへ認証させ、その通信をActive Directory証明書サービス（AD CS）のWeb登録機能へ中継しました。攻撃者はそこでドメインコントローラーのアカウントの証明書を取得し、証明書を使った認証に利用しています。