Microsoftは、実際に悪用されているOutlookのなりすまし（スプーフィング）の脆弱性「CVE-2026-124194」を修正しました。この脆弱性を突かれると、メールクライアントが攻撃者の管理するインフラにNTLMv2の認証情報を送信してしまいます。
修正プログラムは2026年11月10日に公開されました。深刻度は「中（Moderate）」、CVSS 3.1のスコアは6.5（現状評価値は6.2）で、Exploitability Indexは「Exploitation Detected（悪用を確認）」とされています。
認証不要のリモート攻撃者が、細工したメッセージファイルを送りつけ、受信者に開かせます。するとOutlookは、通常表示される外部コンテンツの警告を出さないまま、攻撃者の管理するネットワーク上の場所へ外部接続を開始します。
この無警告の接続により、ユーザーのNTLMv2ハッシュが漏えいします。攻撃者はこれを使って被害者になりすますことができます。根本原因はCWE-356に分類されています。
MITREはCWE-356を、セキュリティ上重要な動作を人間が承認すべきなのに、製品がUIの承認ダイアログや事前設定ポリシーでユーザーに確認しない状況と定義しています。今回は、外部コンテンツに対する同意の確認が表示されないため、強制された認証が気付かれないまま進行します。
この手口は、Outlookで過去に見つかった強制認証の脆弱性に通じるものです。APT28はCVE-2023-23397を悪用し、Outlookのリマインダーを攻撃者の管理するSMB共有に向かわせてNet-NTLMv2ハッシュを収集しました。そのハッシュをExchangeメールボックスへのリレー攻撃に利用しています。
CVE-2026-124194は、ゼロクリックで発動するのではなく、被害者が悪意あるファイルを開く必要がある点で異なります。同様に、MonikerLinkの脆弱性であるCVE-2024-21413は、複合モニカーを悪用して保護ビューを回避し、ローカルのNTLM認証情報を漏えいさせました。
いずれの事例も、Officeクライアントで警告が1つ抑制されるだけで、日常的なファイル操作が認証情報の漏えいにつながり得ることを示しています。窃取されたNTLMv2ハッシュは、オフラインでのブルートフォース攻撃に使えるほか、SMB署名、LDAP署名、認証の拡張保護（EPA）のいずれかが欠けているサービスに対するNTLMリレー攻撃にも使えます。
窃取したNTLM認証をリレーする攻撃者は、Pass-the-Hash攻撃による移動、権限昇格、ドメイン参加システム間でのラテラルムーブメントを実行できます。特権アカウントが侵害されれば、被害はActive Directory全体へ急速に拡大する恐れがあります。
Microsoftのアドバイザリが対象として挙げているのは、Microsoft 365 Apps for Enterprise（32ビット版および64ビット版）、Office LTSC 2024（ビルド16.0.17932.21140）、Office LTSC 2021（ビルド16.0.14334.21048）です。
防御側は、2026年11月のOfficeアップデートを直ちに適用し、Microsoftのリリースノートでビルド番号を確認する必要があります。Microsoftの指標は、「Exploitation Detected」の問題を最優先で扱うよう顧客に促しています。
追加の防御策としては、境界でのアウトバウンドSMB（TCP 445）とNetBIOSの遮断、SMB署名とLDAP署名の強制、EPAの有効化、グループポリシーによるNTLMの制限、重要アカウントのProtected Usersグループへの追加、Kerberosへの移行が挙げられます。
セキュリティチームは、未知の外部IPアドレスへの異常なアウトバウンド認証や、メッセージファイルを開いた後にネットワーク接続を開始するOutlookプロセスについても調査する必要があります。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/hackers-exploit-microsoft-outlook-zero-day/
