SAPなど他のベンダーも重大な脆弱性を修正しました。SAPは、リモートアクセスを許す恐れのある重大なメモリ破損の脆弱性「ICM2Shell」にパッチを適用しています。
Microsoftが11月のパッチチューズデーで修正した1,094件の脆弱性には、攻撃者がOutlookのハッシュ化されたNTLM認証情報を盗み出せるゼロデイ脆弱性が含まれています。すでに悪用が確認されています。
この脆弱性（CVE-2026-124194）の深刻度はCVSSスコア6.5で、評価は「中程度」にとどまります。しかし、脅威アクターがすでに攻撃に利用しているため、Windows管理者は直ちに対処する必要があります。Nightwingのサイバーインシデント対応マネージャー、Nick Carroll氏は「スコアが低いからといって油断してはいけません」と述べています。
影響を受ける製品には、Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024などがあります。ただし、攻撃を成立させるにはユーザーが悪意のあるOfficeファイルを開く必要があります。そのため、パッチを適用するまでは、従業員向けのセキュリティ意識向上トレーニングと効果的なメールゲートウェイで、攻撃を緩和できる可能性があります。
悪意のあるファイルを開くと、Outlookが通常の外部コンテンツ警告を表示しないまま、攻撃者の管理するネットワーク上の場所へ接続する恐れがあります。その結果、ユーザーになりすませる認証情報が漏えいするおそれがあります。この脆弱性により、ユーザーのNTLMv2パスワードハッシュが攻撃者に渡ります。攻撃者はそのハッシュを他のシステムへリレーしてユーザーとしてサインインしたり、ハッシュを解読してパスワードを復元したりできる可能性があります。
Microsoftは夏以降、AIモデルを使って自社製品の脆弱性を数千件発見してきました。今回のOutlookの脆弱性については、AIアシスタントのClaudeを使ったAnthropicの研究者の功績を認めています。これを受け、Tenableのシニアスタッフリサーチャー、Satyam Narang氏は次のようにコメントしました。「今年はほとんどの期間、AIがパッチチューズデーのたびに干し草の山を大きくしてきました。針が見つかったのは、今回が初めてのようです」
これとは別に、SAPは「ICM2Shell」と名付けられた重大なメモリ破損の脆弱性にパッチを適用しました。CVSS評価は10です。Onapsisの研究者が発見したもので、SAP KernelによるWebSocketトラフィックの処理方法に影響します。Onapsisによると、細工した一連のWebSocketメッセージにより、プロセスをクラッシュさせたり、攻撃者がリモートでコードを実行したりできる恐れがあります。影響を受けるのは、カーネル内部にあるSAP Internet Communications Manager（ICM）と、多くの組織がネットワークの境界に置くリバースプロキシのSAP Web Dispatcherです。
Microsoftのパッチ
Microsoftの1,094件の脆弱性のうち、63件が「重大」と評価されました。
Action1の脆弱性研究ディレクター、Jack Bicer氏によると、4件の脆弱性はCVSS深刻度スコアが9.8です。そのうち3件は、認証情報もユーザー操作も不要で悪用できます。Windows LDAPのリモートコード実行の脆弱性（CVE-2026-119958）では、認証されていない攻撃者がWindows LDAPサービス内でコードを実行できます。ドメインコントローラーとActive Directory環境全体が危険にさらされます。
Bicer氏によれば、Microsoft Exchange Serverのリモートコード実行の脆弱性（CVE-2026-118207）は、組織にメールを送れる人なら誰でも引き起こせます。Windows Xbox Live Networking Serviceのリモートコード実行の脆弱性（CVE-2026-112967）では、同じネットワーク上の攻撃者がWindowsシステムの完全な制御を奪えます。
4件目のAzure OpenAIの特権昇格の脆弱性（CVE-2026-119990）は、多くのチームが頼るようになったクラウドサービスに存在します。ただし、このサービスにはMicrosoftが自動でパッチを適用します。
Bicer氏はCSO（最高セキュリティ責任者）に対し、パッチの適用順序は製品名ではなく、攻撃の到達範囲に沿って決めるよう助言しています。最優先はドメインコントローラーとExchangeサーバーで、その次に、IIS、Microsoft Secure Channel（Schannel）、RPCを信頼できないネットワークに公開しているものが続くといいます。
同氏によると、Message Queuingは、パッチを当てる前にまず棚卸しが必要です。サービスが有効になっているサーバーをすべて洗い出し、どのアプリケーションも使っていなければ無効にします。残りのサーバーには、その日のうちにパッチを適用します。さらに、ハイパーバイザーホストは、ゲスト1台が脱出すると同じホスト上のすべてのテナントに影響が及ぶため、専用のメンテナンスウィンドウが必要だと付け加えました。
TrendAIのZero Day Initiativeで脅威認知を統括するDustin Childs氏は、「防御側がいま知っておくべきこと、そして実行すべきことは、広範なトリアージをやめ、直ちに防御策を講じることです」と述べています。具体的には、まずExchangeとドメインコントローラー（LDAP/Kerberos）にパッチを適用し、ゼロクリックによる侵害を防ぎます。次に、DNSやDHCPなど公開されているネットワークサービスを隔離し、ワームのような感染拡大を防ぎます。そのうえで、組織が利用するクラウドサービスについては、手動で実施する管理上の修正を確認します。
Fortraのセキュリティ研究開発アソシエイトディレクター、Tyler Reguly氏は、今月のMicrosoftの脆弱性は10月より少ないと指摘しました。そのうえで、次のように語っています。「この1回の減少だけで、今後数カ月で減少に向かうと私が予想してきた傾向に入ったと考えるほど、私は愚かではありません。むしろ、Microsoftがこれまで潜んでいた問題をAIによって掘り起こされるたびに修正しているため、高い水準が続いているのだと思います。ただ、こうした長年潜んでいた問題が出尽くせば、いずれ件数は減り始めるはずです。そうなれば、対処すべきは新しいバグだけになります」
Reguly氏は、CSOはベンダー発のノイズや、誇張された脆弱性を無視することでチームの助けになれると述べています。脆弱性の件数が増え始めたとき、真っ先に騒ぎ立てて管理者の負担を増やしたのは、経営幹部層でした。「いまは落ち着いて、チームの負担を増やすのではなく支えるときです。CSOは、AI企業やセキュリティベンダーが、重要でない脆弱性を不必要に煽ることがあると心得ておくべきです。自社サービスの安価で効果的なマーケティングになるからです」と指摘します。「影響を受けるソフトウェアを導入していなければ、その脆弱性は重大ではありません」
予防が鍵となるため、CSOはシステムの堅牢化と緩和策に力を注ぐべきだといいます。同氏は、脆弱性を追いかけるよりも、そのほうが効果的だと述べました。最後にReguly氏は、優先順位付けの重要性を改めて強調しています。「自社に合った優先順位付けの戦略を築いているなら、メディアがクリックを稼ごうとしているからといって、そのやり方を変える必要はありません」
SAPのパッチ
ICM2Shellと総称される重大な脆弱性は、CVE-2026-76964とCVE-2026-89126です。発見したOnapsisの研究者は、悪用は理論上の話ではないと述べています。SAPには、認証なしで完全なリモートコード実行をエンドツーエンドで達成する実証済みのエクスプロイトを提供しており、対象システム上で任意のコマンドを<sid>admとして実行できるといいます。また、サービス拒否の状態は、テストしたすべてのSAP Kernelリリースで再現しました。
Onapsisによると、この脆弱性に到達するには、HTTP/HTTPSポートへのネットワークアクセスさえあれば十分です。WebSocketのサポートはICMとSAP Web Dispatcherの両方でデフォルトで有効になっています。そのため、WebSocketを使うアプリケーションがなくても、システムは危険にさらされます。SAP S/4HANAのデフォルトのICFサービスなど、一部のサービスは認証なしでWebSocket接続を受け付けます。ほかのサービスでも、認証が行われる前にこの脆弱性へ到達できます。研究者は「この攻撃チェーンのどこにも、SAPユーザーもパスワードも証明書も必要ありません」と述べています。
研究者によれば、<sid>admアカウントは、実行ファイル、インスタンスプロファイル、セキュアストア、データベースへの接続など、SAPのインストール全体を所有しています。このユーザーとしてコマンドを実行できれば、SAPシステムを完全に制御できます。攻撃者は、たとえば次のようなことが可能です。セキュアストアやプロファイルからデータベースの認証情報などの機密情報を回収し、それを使ってデータベース内の業務データを直接読み取ったり改ざんしたりする。RFC接続先や技術的な認証情報を収集し、接続先のSAPシステムや非SAPシステムへ侵入を広げる。設定やバイナリを書き換えて、永続的なアクセスを確保する。データを破壊する。
その他のパッチ
Ivantiのプロダクトマネジメント担当VP、Chris Goettl氏は、Adobe、Mozilla、Googleによるパッチにも注意を促しました。
Adobeは9件のセキュリティ情報を公開し、110件のCVEを修正しました。うち22件が重大です。Adobeは、実環境での悪用は確認していないとしています。リスクが最も高いのは、優先度2の2件のアップデートです。Connect（APSB26-191）は24件のCVEで最多となり、うち18件が重大、6件はCVSS 10.0です。脆弱性はSSRF、パストラバーサル、SQLインジェクションにまたがり、Windowsオンプレミス版のバージョン12.12以前に影響します。Experience Manager（APSB26-189）のパッチでは14件のCVEを修正しており、CVSS 9.9の重大なコード実行の脆弱性4件が含まれます。
月曜日にリリースされたGoogle Chrome 157.0.8103.50では、9件のCVEを修正しました。そのなかには、実環境で悪用されているCVE-2026-125350が含まれます。Goettl氏によると、2026年にChromeでゼロデイ脆弱性の悪用が確認されたのは、これで8件目です。Microsoft EdgeなどChromiumベースのブラウザーにも修正の適用が必要です。ユーザーはアップデート後にブラウザーを再起動しないと、パッチが有効になりません。今回のパッチ版は、11月3日にリリースされたChrome 157に続くものです。このChrome 157では213件の脆弱性を修正し、うち7件が重大でした。これとは別に、Googleの11月のAndroidセキュリティ情報では216件の脆弱性を修正しました。うち23件が重大ですが、悪用が確認されたものはありません。対象となるパッチレベルは2026-11-05以降です。
Mozillaは11月10日のリリースでFirefox 160を公開し、99件のCVEを修正しました（うち57件が「高」）。Firefox ESR 153.7では81件の脆弱性を修正し（うち51件が「高」）、ESR 115.45では28件を修正しました（すべて「高」）。「高」と評価された問題の多くは、グラフィックス、DOM、レイアウト、JavaScriptの各コンポーネントにわたる、use-after-freeやメモリ境界の欠陥です。サンドボックス脱出も複数含まれ、その一つがCVE-2026-124907です。これはCanvasWebGLのuse-after-freeで、権限昇格とサンドボックス脱出が可能になります。同じ脆弱性は、Thunderbird 160とThunderbird 153.7でも修正されています。
