Microsoft Outlookに存在する脆弱性「CVE-2026-124194」が、すでに実際の攻撃で悪用されていることが確認されました。Microsoftは2026年11月11日（日本時間）に、この脆弱性を修正する更新プログラムを公開しています。
細工されたメッセージファイルをOutlookで開くと、通常表示されるはずの警告が出ないまま攻撃者のサーバーに接続し、Windowsの認証情報が漏れるおそれがあります。IPAも「至急、セキュリティ更新プログラムを適用してください」と呼びかけています。
ここで注意したいのが、この脆弱性の修正はWindows Updateではなく、Office（Outlook）側の更新で行われるという点です。この記事では、対象製品と更新手順をわかりやすくまとめます。
Outlookのゼロデイ脆弱性「CVE-2026-124194」とは？
今回の脆弱性は、Outlookの「なりすまし（Spoofing）」の脆弱性です。攻撃者が細工したメッセージファイルを送り、利用者がそれを開くと、Outlookは外部コンテンツの警告を表示しないまま、攻撃者が管理するネットワーク上の場所へ接続してしまう可能性があります。
その結果、Windowsの認証に使われるNTLMv2ハッシュが攻撃者に渡ります。攻撃者はこれを使い、利用者になりすまして認証を通る可能性があります。
- 脆弱性番号：CVE-2026-124194
- 種類：なりすまし（Spoofing）
- 影響：NTLMv2ハッシュなどの認証情報が漏れるおそれ
- 深刻度：Microsoftの評価は「警告」（Moderate）、CVSSは6.5
- 悪用状況：Microsoftが悪用の事実を確認済み
深刻度の評価は最高ではありませんが、すでに攻撃に使われているため、優先して対処する必要があります。米国のCISAも、悪用が確認された脆弱性のカタログ（KEV）に追加しています。
なお、メールを選択したときに中身が表示されるプレビューウィンドウは、この脆弱性の攻撃対象にならないとされています。攻撃には、利用者がファイルを開く操作が必要です。
対象は？修正は「Office側の更新」で行われる
Microsoftが対象製品として挙げているのは、次の6つです。
- Microsoft 365 Apps for Enterprise（32ビット版・64ビット版）
- Office LTSC 2024（32ビット版・64ビット版）
- Office LTSC 2021（32ビット版・64ビット版）
対象製品の一覧にWindowsは含まれていません。このOutlookの脆弱性は、Windowsの更新ではなく、Office側の更新プログラムで修正されます。
個人向けのMicrosoft 365や、Office 2019などは、対象製品として明記されていません。ただし、Officeを最新の状態にしておくことは、他の不具合や脆弱性への対策にもなります。迷った場合は、次の手順で更新しておくと安心です。
Officeを更新する手順（ビルド番号の確認つき）
Microsoft 365 Appsなど、従来のデスクトップ版Officeを使っている場合は、次の手順で更新できます。
- OutlookなどのOfficeアプリを起動
- 「ファイル」をクリック
- 「Officeアカウント」を選択
- 「更新オプション」をクリック
- 「今すぐ更新」を選択
更新中はOfficeアプリの終了を求められることがあります。作業中のファイルは、先に保存しておきましょう。
更新が終わったら、同じ「Officeアカウント」の画面で、バージョンとビルド番号を確認すると安心です。Microsoftが公表している修正済みの版は次のとおりです（2026年11月10日付）。
- Current Channel：バージョン2610（ビルド20527.20196）
- Monthly Enterprise Channel：2610（20527.20194）、2609（20430.20264）、2608（20326.20320）
- Semi-Annual Enterprise Channel：2610（20527.20192）、2609（20430.20262）、2608（20326.20318）
- Office LTSC 2024：バージョン2408（ビルド17932.21140）
- Office LTSC 2021：バージョン2108（ビルド14334.21048）
自分のOfficeがどの更新チャネルかは、同じ画面の「バージョン情報」付近で確認できます。表示されたビルド番号が、上の番号と同じか、それより新しければ更新済みです。
会社や学校のパソコンでは、管理者が更新を管理している場合があります。「更新オプション」が選べないときは、管理者の案内に従ってください。
Windows Updateも忘れずに実施
Windows Updateは、このOutlookの脆弱性を直すものではありません。ただし、11月の月例更新では、Windowsや他のMicrosoft製品の脆弱性も多数修正されています。Officeの更新とあわせて、Windows Updateも実施しておきましょう。
Windows 11の場合は、次の手順で更新できます。
- 「スタート」ボタンをクリック
- 「設定」を開く
- 左側の「Windows Update」を選択
- 「更新プログラムのチェック」をクリック
- 利用可能な更新プログラムを適用する
再起動を求められた場合は、作業中のファイルを保存してから再起動してください。
不審なファイルは開かない
更新に加えて、日ごろのメールの扱いにも注意しましょう。
- 心当たりのないメールの添付ファイルは開かない
- 知っている相手からのメールでも、不自然なファイルには注意する
- 急に届いたファイルは、送信者本人に別の方法で確認する
この脆弱性は、利用者がファイルを開く操作が攻撃の入り口になります。送信者の名前やメールアドレスだけで安全と判断せず、少しでも不審に感じたら開かないようにしてください。
この脆弱性の報告者にAIを活用した研究者の名前も
Microsoftの脆弱性情報の謝辞には、報告者として「Benoit Sevens using Claude with Anthropic」の記載があります。AIを活用した脆弱性調査が、実際のセキュリティ更新につながった例といえそうです。
まとめ：悪用確認済み、Officeの更新を最優先に
Outlookの脆弱性「CVE-2026-124194」は、すでに実際の攻撃で悪用されています。修正はWindows UpdateではなくOffice側の更新で行われるため、まずはOfficeの「今すぐ更新」を実行し、ビルド番号を確認してください。あわせてWindows Updateも実施すれば、11月の月例更新の修正もまとめて適用できます。
大切な認証情報を守るためにも、更新を後回しにせず、今日のうちに確認しておきましょう。
参考情報
- Microsoft：CVE-2026-124194（Microsoft Outlook のなりすましの脆弱性）
Security Update Guide - Microsoft Security Response Centermsrc.microsoft.com - Microsoft：2026年11月のセキュリティ更新プログラム
Security Update Guide - Microsoft Security Response Centermsrc.microsoft.com - Microsoft：Microsoft 365 Appsのセキュリティ更新プログラム（ビルド番号）
Release notes for Microsoft Office security updates - Office release notesProvides IT Pros with release notes for Microsoft Office Security Updateslearn.microsoft.com - IPA：Microsoft 製品の脆弱性対策について(2026年11月)
Microsoft 製品の脆弱性対策について(2026年11月) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構情報処理推進機構（IPA）の「Microsoft 製品の脆弱性対策について(2026年11月)」に関する情報です。www.ipa.go.jp - JPCERT/CC：2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起
2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起www.jpcert.or.jp - CISA：Known Exploited Vulnerabilities Catalog
Known Exploited Vulnerabilities Catalog | CISAFor the benefit of the cybersecurity community and network defenders—and to help every organization better manage vulner...www.cisa.gov
コメント