ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、マイクロソフトは2026年11月11日に11月の月例セキュリティ更新プログラムを公開しました。今回の更新では合計1,094件のCVEが修正対象となっており、そのうちOutlookにおけるなりすましの脆弱性「CVE-2026-124194」については、すでに実際の攻撃での悪用が確認されています。細工されたメッセージファイルを開くだけで、警告なしに外部へ接続され認証用ハッシュが漏えいする危険があり、対象製品を運用する組織では迅速な確認が求められます。
ビジネス＋IT（Yahoo!ニュース）：マイクロソフト月例更新1,094件 Outlookのゼロデイは悪用確認済み、自社は大丈夫か
社内のクライアント環境で修正プログラムが未適用のまま放置されていないか不安な場合は、こちらの診断サービスをご検討ください。
この記事のポイント
影響のあるシステム
- Microsoft 365 Apps for Enterprise（32ビット版および64ビット版）
- Office LTSC 2024（32ビット版および64ビット版、ビルド16.0.17932.21140より前のバージョン）
- Office LTSC 2021（32ビット版および64ビット版、ビルド16.0.14334.21048より前のバージョン）
推奨される対策
- Office LTSC 2024を利用している端末に更新を適用し、ビルド番号を16.0.17932.21140以降へ更新する
- Office LTSC 2021を利用している端末に更新を適用し、ビルド番号を16.0.14334.21048以降へ更新する
- Microsoft 365 Apps for Enterprise向けに配信されているセキュリティ更新プログラムを適用する
この記事に出てくる専門用語
- CVE-2026-124194：Outlookに存在するなりすましの脆弱性です。今回の月例更新プログラムにおいて、すでに実際の悪用が確認されたゼロデイ脆弱性として修正されました。
- NTLMv2ハッシュ：Windows環境などでユーザー認証を行う際に用いられるハッシュ化された資格情報です。今回の脆弱性では、この値が攻撃者のネットワークへ送信されてなりすまし認証に悪用される恐れがあります。
- CWE-356：ユーザーインターフェースが危険な操作に対して適切な警告を表示しない弱点を指します。本件では外部コンテンツへの接続時に警告画面が出ない不具合に該当します。
CVE-2026-124194でNTLMv2ハッシュが外部へ漏えいする手口
ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、修正された脆弱性CVE-2026-124194は認証されていない外部の攻撃者によって悪用される可能性があります。攻撃者が細工を施したメッセージファイルを送信し、受信者がそれを開くことで攻撃が成立します。
通常であれば外部コンテンツへの接続時に警告メッセージが表示されますが、この脆弱性では通知が出ないまま攻撃者の管理下にあるネットワーク先へ接続が行われます。その接続処理の過程で、利用者の認証に使われるNTLMv2ハッシュが自動的に相手先へ送信されてしまいます。
私たち診断側の視点では、警告ダイアログが出ない脆弱性は利用者の警戒心だけで防ぐことが極めて困難だと判断します。攻撃者は奪取したNTLMv2ハッシュを用いることで、正規のユーザーになりすまして認証を突破する足がかりを得ます。
攻撃が成立する条件と影響を受ける対象製品
MSRCの説明によると、今回の脆弱性はプレビューウィンドウでメッセージを表示しただけでは悪用されません。攻撃が発動するためには、受信者がファイルを開くという操作を実際に行う必要があります。
影響を受ける製品群としては、法人向けのMicrosoft 365 Apps for Enterpriseの32ビット版および64ビット版が挙げられています。これに加えて、Office LTSC 2024とOffice LTSC 2021の各32ビット版と64ビット版も対象に含まれます。
CVSS 3.1の基本値は6.5で、深刻度は中程度の「Moderate」と評価されています。深刻度ラベルが緊急でない場合でも、すでに悪用が確認されているゼロデイ脆弱性である以上、優先度を下げずに対応する判断が妥当です。
対象製品を利用している組織が取るべき確認と更新手順
対象のOffice製品を導入している環境では、提供されているセキュリティ更新プログラムを速やかに適用します。更新後のビルド番号を確認することで、修正が完了しているかを判別できます。
- Office LTSC 2024：ビルド番号が16.0.17932.21140以降になっているか確認します
- Office LTSC 2021：ビルド番号が16.0.14334.21048以降になっているか確認します
- Microsoft 365 Apps for Enterprise：各製品向けに配信された最新のセキュリティ更新プログラムを適用します
私たちなら、まず社内ネットワーク内でサポート終了していないLTSC環境の端末がどの程度稼働しているかを資産管理ツールなどで洗い出します。端末側の自動更新に任せきりにせず、管理者側でパッチの適用状況とビルド番号の追跡を実施してリスクを排除します。
参考文献・記事一覧
組織内に残る未修正の脆弱性や認証情報漏えいのリスクを洗い出したいときは、プロによる網羅的な診断をおすすめします。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
