Microsoft、悪用されたOutlookのゼロデイを含む1,094件の脆弱性を修正

Microsoftは2026年11月のPatch Tuesdayで、自社製品全体の1,094件の脆弱性を修正しました。このなかには、悪用が確認されたとしているOutlookの脆弱性が含まれています。

このゼロデイ脆弱性はCVE-2026-124194として追跡されており、なりすましの欠陥に分類されています。原因は、潜在的に危険な操作が行われる前に、Outlookがユーザーへ警告を表示しないことです。

Microsoftはこの脆弱性の深刻度を「中程度（moderate）」、CVSSスコアを6.5と評価しています。同社のアドバイザリーには、確認された攻撃に関する情報は記載されていません。

Microsoftによると、攻撃を成立させるには、被害者をだまして悪意あるファイルを開かせる必要があります。

「認証されていない攻撃者が、細工したメッセージファイルを送り付け、影響を受けるバージョンのMicrosoft Outlookで開くようユーザーを説得する可能性があります。ファイルを開くと、通常表示される外部コンテンツの警告が出ないまま、Outlookが攻撃者の管理するネットワーク上の場所に接続し、ユーザーのなりすましに使える認証情報が漏えいするおそれがあります」と、この大手IT企業は説明しています。

Microsoftによれば、この脆弱性はプレビューウィンドウ経由では悪用できません。さらに、「この脆弱性により、ユーザーのNTLMv2ハッシュが攻撃者に漏えいし、攻撃者はこれを使ってそのユーザーとして認証できる可能性があります」とも補足しています。

この脆弱性は、修正プログラムが提供される前には公開されていませんでした。影響を受ける製品は、Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024です。

Microsoftのアドバイザリーでは、「nono」というハンドルネームの研究者とBenoît Sevens氏が発見者として挙げられています。Sevens氏の謝辞には、AnthropicのAIモデルClaudeを利用したとの記載があります。

今月修正された脆弱性のうち、Windowsが726件を占め、Officeが174件で続きました。このほか、SQL Serverで59件、開発者向けツールで53件、SharePoint Serverで27件、Azureで20件、Exchange Serverで9件の脆弱性が解消されました。

加えてMicrosoftは、サードパーティ由来の165件のCVEを再掲載しました。なお、Chromeの脆弱性は含まれていないとしています。

Microsoftのリリースサマリーでは、Windows 10、Windows 11、Windows Server 2016から2025、Office、Exchange Server Subscription Edition、Edge、Malware Protection Engineに、重大（critical）レベルの更新プログラムがあるとされています。Azure OpenAIとAzure Managed Grafanaも対象です。

11月の修正件数は、10月より少なくなりました。10月にMicrosoftが修正した脆弱性は過去最多の1,413件でした。今回の更新を加え、Microsoftが今年修正した脆弱性は5,000件を超えました。

今月の更新プログラムは、Windows 11 バージョン23H2のEnterprise版およびEducation版にとって最後の更新にもなります。これらのエディションを実行するデバイスには、今後、毎月のセキュリティ更新プログラムは提供されません。

AdobeによるPatch Tuesdayの最新更新では、9製品にわたるおよそ110件の脆弱性が修正されました。