米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Microsoft Outlookのなりすまし（スプーフィング）の脆弱性「CVE-2026-124194」を、悪用が確認された脆弱性を集めた「Known Exploited Vulnerabilities（KEV）カタログ」に追加しました。
この脆弱性を突くと、認証されていない攻撃者がネットワークになりすませる恐れがあります。Outlookが、安全とは言い切れない処理を実行する前に、本来必要なユーザーの承認を取得しないためです。カタログ上の追加日は2026年11月10日、対処期限は11月24日です。
この脆弱性は、CWE-356（安全でない可能性のある操作に対するユーザー操作の欠如）に分類されています。承認ダイアログや適用すべきポリシーでユーザーに確認せず、セキュリティ上重要な処理を進めてしまうソフトウェアを指す分類です。
技術的な報告によると、攻撃者は細工したメッセージファイルを送り付け、受信者に開かせようとします。すると、Outlookは本来表示されるはずの外部コンテンツに関する警告を出さないまま、攻撃者が管理するインフラに接続します。その結果、NTLMv2の認証情報が漏えいします。
警告が出ないことで、セキュリティ上の判断の機会は失われます。ただし、悪用に必要なユーザー操作がすべてなくなるわけではありません。MicrosoftはこのCVEに、CVSS 3.1ベーススコア6.5（重要度は「中」）を付けています。
ベクターでは、ネットワーク経由で攻撃でき、攻撃条件の複雑さは低く、必要な権限はなく、ユーザー操作が必要とされています。機密性への影響は大きい一方、完全性と可用性への直接的な影響はありません。
したがって、この脆弱性はゼロクリック型ではありません。区別のために、CVE-2023-23397に関連して別途報告されたNet-NTLMv2認証情報の窃取を例に挙げます。この古いOutlookの脆弱性は、リマインダーの処理によって作動し、被害者が悪意あるファイルを開かなくても悪用される可能性がありました。両者は別個のキャンペーンであり、混同してはなりません。
窃取された認証情報は、アカウントの強度や接続先の保護対策によっては、オフラインでのパスワード解読やNTLMリレー攻撃に悪用される可能性があります。
リレー攻撃は、認証のやり取りを別のサービスに転送する手法です。攻撃者が平文のパスワードを入手したことを自動的に意味するものではありません。
公開されているCVEの説明は、この脆弱性をスプーフィングと位置付けており、任意のコード実行とはしていません。CISAが提供したエントリーでは、ランサムウェアでの使用は「不明」とされています。そのため、防御側はこの悪用をランサムウェアキャンペーンと断定したり、特定の脅威アクターによるものと結び付けたりすべきではありません。
影響を受ける製品には、Microsoft 365 Apps for Enterpriseと、Office LTSC 2021および2024（32ビット版・x64版の両方）が含まれます。CVEレコードでは、16.0.14334.21048より前のOffice LTSC 2021と、16.0.17932.21140より前のOffice LTSC 2024が影響を受けるとされています。
Microsoft 365 Appsを利用している場合は、LTSCのビルド番号が自社の更新チャネルにも当てはまると考えず、該当するOfficeのセキュリティリリース情報を確認する必要があります。管理者は関連する更新プログラムを適用し、管理下のエンドポイント全体でインストール済みのビルドを確認してください。
CISAが提供したエントリーは、BOD 26-04に基づくベンダー指示の緩和策の実施、資産のインターネット露出の評価、該当するクラウドサービス向けガイダンスへの対応を求めています。
緩和策が利用できない場合は、影響を受ける製品の使用を中止してください。「必須のフォレンジックトリアージ」は「No」とされていますが、これは悪用の痕跡が残らなかったことを示すものではありません。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/cisa-microsoft-outlook-zero-day-vulnerability/
