セキュリティ
Microsoft管理者は嘆きと歯ぎしり
今月もまた、大量の修正が並ぶPatch Tuesdayとなりました。Microsoftは自社製品の1,094件のバグを修正しました。その中には、パッチ公開前に攻撃者に悪用されていたものも1件含まれます。エクスポージャー管理企業watchTowrの脅威インテリジェンス責任者Jake Knott氏は、The Register宛てのメールで「もう家に帰ったほうがいいかもしれません」と端的に語りました。
「ほとんどのセキュリティチームは、先月の重大な脆弱性、緊急パッチ、そして『2shell』と銘打たれたあらゆるものが立て続けに押し寄せた状況からまだ立ち直れていません。それなのに、またPatch Tuesdayがやって来ました」とKnott氏は述べています。
まずゼロデイ脆弱性です。これはOutlookのなりすまし（スプーフィング）の脆弱性で、CVE-2026-124194として追跡されています。CVSSスコアは10点満点中6.5にとどまります。しかし、TrendAIのZero Day Initiativeで脅威認識責任者を務めるDustin Childs氏は、スコアや名称に惑わされてこの脆弱性のパッチ適用を後回しにしてはならないと警告しています。
Childs氏はPatch Tuesdayの月次レビューで、「スプーフィングと分類されていますが、影響は名称から想像されるよりも大きいものです」と指摘しました。
「攻撃者は細工したメッセージファイルを送りつけ、ユーザーに開かせます」と同氏は書いています。「するとOutlookは、通常表示される外部コンテンツの警告を出さないまま、攻撃者が管理するネットワーク上の場所に接続し、ユーザーのNTLMv2ハッシュを漏えいさせます。攻撃者はそのハッシュを使い、そのユーザーになりすまして認証できます」
MicrosoftはCVE-2026-124194を悪用済みとしましたが、例によって、攻撃がいつ始まったのか、誰がこのバグを狙っているのか、侵入後に何をしているのかは明らかにしていません。こうした詳細は、まもなく少しずつ明らかになるとみられます。
さらに、修正パッチが公開された今、ほかの攻撃者も脆弱なバージョンを探すスキャンや、パッチのリバースエンジニアリングによる攻撃への転用をすでに進めているはずです。この修正を最優先で適用し、受信トレイに不審なファイルが届いていないか注意してください。
2か月連続で1,000件超のCVE
1,000件を超えるCVEが公開されたのは2か月連続です（10月は1,474件）。それでも、悪用が確認されているのはCVE-2026-124194のみで、1,094件のうち、公に知られているものはありません。Childs氏は、組織はこれを「偽りの安心材料」にすべきではないと述べています。
「2か月続けて1,000件を超えるCVEが公開されたことは、自動化されたバグ探索によってパッチの件数が恒久的に増えたことを示しています」と同氏はThe Registerに語りました。「AIによってパッチ差分の解析とエクスプロイトの生成がほぼ瞬時にできるようになり、更新プログラムが公開された瞬間から脅威の窓が開きます」
防御側にとっては、やるべきことが2つあるとChilds氏は付け加えました。
「防御側がいますぐ知っておき、実行すべきなのは、広範なトリアージをやめて直ちに防御策を講じることです。ゼロクリックでの侵害を防ぐため、まずExchangeとドメインコントローラー（LDAP/Kerberos）にパッチを適用します。ワーム化しうる拡散を防ぐため、DNSやDHCPなど公開されたネットワークサービスを隔離します。そして、クラウドサービスで必要な手動の修正が適用されているかを確認してください」と同氏は述べています。
ゼロクリックの脅威
今月の修正には、ゼロクリックで悪用される脅威が2件含まれます。CVE-2026-116928とCVE-2026-119958です。いずれも深刻度は「緊急」で、CVSSスコアは9.8です。悪用にユーザー操作が一切不要であることも、その理由の一つです。
CVE-2026-116928は、Microsoft Windows Search Componentにおける境界外書き込みの脆弱性で、リモートコード実行につながるおそれがあります。認証されていない攻撃者は、Exchangeのこの検索機能を悪用し、「細工した添付ファイル付きのメールを送る」ことで攻撃できるとMicrosoftは警告しています。「Exchangeは索引付けのために添付ファイルを自動的に処理するため、受信者がメールや添付ファイルを開く必要はありません。悪用に成功すると、攻撃者は影響を受ける処理サービスの権限でコードを実行できる可能性があります」
CVE-2026-119958は、WindowsのLightweight Directory Access Protocol（LDAP）の実装における境界外書き込みの脆弱性です。認証されていない攻撃者が、ユーザー操作なしでリモートからコードを実行できる可能性があります。脆弱なシステムに細工したLDAPリクエストを送ることで悪用でき、ドメインコントローラーが侵害されるおそれもあります。
Childs氏はさらに、ネットワーク経由で認証もユーザー操作も不要な「ワーム化のリスク」があるCVEを30件挙げています。すべて同氏のブログに一覧があるため、これらの修正も優先してください。
そしてXboxのリモートコード実行も
最後に、おまけとして、Windows Xbox Live Networking Serviceの重大な欠陥CVE-2026-112967も今月の修正に含まれました。リモートコード実行につながるおそれがあるもので、ヒープオーバーフローの脆弱性です。CVSSスコアは9.8で、悪用に認証もユーザー操作も必要ありません。
そのため、11月の更新プログラムを検証する合間にゲーム休憩を取っている場合ではありません。取るにしても、Xbox Live Networking Serviceを実行している脆弱なWindowsシステムを、パッチ適用リストに入れておいてください。®
