Microsoft、11月のPatch TuesdayでOutlookのゼロデイ脆弱性を修正

Microsoftの11月のPatch Tuesdayでは、今月も大規模なセキュリティ修正が公開されました。なかでもOutlookの脆弱性1件は、早急な対応が必要です。

2026年11月の更新プログラムでは、Microsoft製品全体で1,000件を超える脆弱性が修正されました。この中には、Windowsの認証情報が漏えいするおそれがあり、すでに悪用されているOutlookのゼロデイ脆弱性が含まれます。

この脆弱性は「CVE-2026-124194」として追跡されており、深刻度は「中（Moderate）」、CVSSスコアは6.5です。ただし、実際に悪用が確認されているため、影響を受けるバージョンのMicrosoft 365 AppsやOfficeを利用する組織にとっては、優先して対処すべき問題です。

攻撃者は、細工したメッセージファイルをユーザーに開かせることで、NTLM認証情報を窃取できる可能性があります。窃取した情報は、社内システムへのさらなる攻撃に悪用されるおそれがあります。

攻撃者は、取得したハッシュをクラックまたはリレーすることで被害者になりすまし、社内リソースにアクセスする可能性があります。攻撃にはユーザーの操作とネットワーク接続が必要ですが、Microsoftによると、プレビューウィンドウは攻撃経路にはなりません。

Microsoftは、攻撃者の正体や被害を受けた組織、キャンペーンの規模を明らかにしていません。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性を悪用が確認された脆弱性（KEV）カタログに追加しました。連邦機関は11月24日までに修正を適用する必要があります。

Action1の脆弱性調査ディレクターを務めるJack Bicer氏は、「中」という評価ではリスクが過小に見積もられていると警告しています。同氏は、管理者や重要なアカウントから優先して、Outlookをただちに更新するよう推奨しています。

Outlook以外にも深刻な脆弱性

今回のリリースには63件の重大（Critical）な脆弱性が含まれており、ゼロデイはその一部にすぎません。ほかにも、認証情報の窃取や従業員への不正ファイルの開封誘導がなくてもシステムを侵害されかねない脆弱性があり、優先的な対応が必要です。

特に深刻なものは次のとおりです。

Action1のJack Bicer氏は、LDAPの脆弱性により、認証されていない攻撃者が、「ディレクトリ内のユーザー、グループ、コンピューターを管理する」ディレクトリサービスにアクセスできる可能性があると警告しました。同氏は「この境界外書き込みの脆弱性はスコアが9.8で、攻撃も容易です」と述べています。攻撃が成功すると、認証情報の漏えいや不正な管理者アカウントの作成を招き、ランサムウェアの展開にもつながるおそれがあります。

Microsoftは、Exchange ServerとMessage Queuingの深刻な脆弱性も修正しました。メッセージング基盤が侵害されると、業務上のやり取りが漏えいし、社内のメッセージ処理に依存するアプリケーションも停止しかねないため、注意が必要です。

企業がAIサービスを社内の情報やワークフローに接続する動きを強めるなか、Azure OpenAIの脆弱性も懸念材料です。 

Action1のMike Walters社長兼共同創業者は、不正な権限昇格が起きると「プロンプトやモデルの出力、接続されたデータ、ビジネスロジックが露出したり、攻撃者がサービスを悪用して利用料金を膨らませたりするおそれがあります」と警告しました。さらに「ここで侵害が起きれば、機密情報の漏えいやAI活用プロセスへの信頼の失墜、コンプライアンス上の問題につながりかねません」と付け加えています。 

AIによる脆弱性発見が防御側への圧力を強める

11月も、1,000件を超える脆弱性が修正されました。過去最多となった10月のリリースに続く規模です。 

Zero Day Initiativeで脅威認識部門の責任者を務めるDustin Childs氏は、eSecurity Planetへのメールで次のように警告しています。「2か月連続でCVEが1,000件を超えたことは、自動化されたバグ探索がパッチの量を恒久的に押し上げたことを示しています。ただし、現在悪用されているゼロデイがないからといって、安心できるわけではありません。AIによってパッチ差分の解析とエクスプロイトの生成がほぼ瞬時に行えるようになり、更新プログラムが公開された瞬間から脅威の時間枠が開きます」

Childs氏は、ExchangeサーバーとドメインコントローラーへのPatch適用を優先し、公開されているDNSおよびDHCPサービスを制限するよう勧めています。クラウドサービスについても、管理者による手動の修正が必要かどうかを確認すべきだとしています。 

セキュリティチームにとっての課題は、もはや脆弱性を見つけることだけではありません。数百件ものパッチ適用要求が同時に押し寄せるなかで、管理者を疲弊させることなく、どのシステムから優先して対処するかを判断することが求められています。

11月の更新がWindowsとOfficeのユーザーに意味すること

Windowsの累積更新プログラムを適用すれば、Outlookのゼロデイも自動的に修正されると考えてはいけません。このOutlookの脆弱性の修正には、該当するOfficeのセキュリティ更新プログラムが必要です。IT部門は、WindowsとMicrosoft 365またはOfficeの両方が更新の対象になっているか確認することが重要です。

Windows 11ユーザー向けの更新には、セキュリティと信頼性に関する変更も追加で含まれています。ただし、提供状況や挙動は、インストールされているバージョンによって異なる場合があります。

管理者は、悪用が確認されている脆弱性とインターネットに公開されているシステムを優先し、残りの重大な脆弱性については、環境の露出度や業務上の重要度に応じて対応を進めるべきです。

個人ユーザーも、利用可能なWindowsとOfficeの更新を早めに適用し、不審なメールの添付ファイルを慎重に扱うことが、引き続き重要な対策です。

今回のOutlookの事例は、深刻度が「中」であっても、運用上のリスクが中程度とは限らないことを示しています。攻撃者がすでに悪用している場合は、なおさらです。

その他のニュース： 新たに公開されたiOSの脆弱性「worse_query」により、悪意のあるアプリがAppleのサンドボックス保護を回避できる可能性があります。ログイン認証情報や暗号資産ウォレットの鍵など、他のアプリが保存した機密データにアクセスされるおそれがありますが、確認されている修正プログラムはまだありません。