Microsoftは、Outlookに高深刻度のリモートコード実行(RCE)脆弱性が存在することを公表しました。攻撃者が特別に細工したOfficeファイルを送りつけることで、標的とする端末上で悪意あるコードを実行できる可能性があります。
CVE-2026-70329として追跡されているこの脆弱性は、Microsoftの月例セキュリティ更新プログラムの一環として2026年8月11日に公開されました。
この脆弱性のCVSS v3.1基本値は8.8で、深刻度は「重要」と評価されています。Outlookおよび Microsoft Officeを日常的な業務連絡に利用している組織にとっては、優先的に対応すべき問題です。
CVE-2026-70329は整数オーバーフローまたはラップアラウンドの脆弱性で、CWE-190に分類されます。この種の弱点は、ソフトウェアが行う計算結果が、割り当てられた整数型の格納可能範囲を超えてしまう場合に発生します。
この過大な値を安全に処理する代わりに、アプリケーションが予期しない小さな値や負の値へとラップしてしまうことがあります。セキュリティ上重要なコードパスでこうした挙動が起きると、メモリ破損、検証処理の誤り、あるいはプログラムの実行につながる恐れがあります。
Microsoftによると、権限を持たない攻撃者がこの脆弱性を悪用し、ネットワーク経由でコードを実行できるとしています。悪用の成功に被害者システム上での事前の権限は不要で、攻撃の複雑さも低いとされています。
攻撃者はまず、悪意あるOfficeファイルを標的に送りつけ、それを開かせるよう仕向ける必要があります。そのため、フィッシングメール、文書共有を装った誘導、あるいは侵害されたビジネスコミュニケーション用アカウントなどが、有力な配布経路になるとみられます。
攻撃者は武器化したファイルを、請求書、契約書、配送通知、会議アジェンダ、求人応募書類、あるいは社内共有文書などに偽装する可能性があります。
被害者が悪意あるファイルを開くと、細工されたコンテンツが脆弱なOutlookまたはOfficeコンポーネント内で整数オーバーフローを引き起こす可能性があります。攻撃が成功すれば、攻撃者は任意のコードを実行する能力を手に入れるおそれがあります。
Microsoftは、機密性・完全性・可用性への影響についていずれも「高」の評価を与えています。コード実行に成功した攻撃者は、ローカルにアクセス可能な文書の窃取、認証情報の収集、情報窃取型マルウェアの展開、リモートアクセスツールのインストール、業務データの改ざん、あるいはランサムウェアの展開などを試みる可能性があります。
Microsoftによると、CVE-2026-70329はセキュリティ更新プログラムの公開前に一般公開されておらず、公開時点で実際の悪用も確認されていないとのことです。
同社の悪用可能性評価では、この脆弱性は「悪用される可能性は低い」に分類されています。とはいえ、防御側はこの評価を「対応を先送りしても安全」という意味に受け取るべきではありません。
技術的な詳細解析の公開、概念実証(PoC)の開発、フィッシングへの転用などにより、パッチ公開後に脅威の状況が急速に変化することは十分にあり得ます。
各組織は、確立されたパッチ管理プロセスを通じて、Microsoftの公式アップデートを速やかに適用すべきです。セキュリティチームも、メールで配布される不審なOffice文書、特に緊急性を装った財務・人事・法務・業務関連のメッセージへの監視を強化する必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮
翻訳元: https://cyberpress.org/microsoft-outlook-rce-flaw/