Microsoftの11月の更新（CVE-2026-124194ほか）｜Outlookで悪用

Microsoft は2026年11月10日（米国時間。日本時間の11日未明）、Windows・Office・Exchange Server などの月例のセキュリティ更新を公開しました。 このうち Outlook のなりすましの脆弱性（CVE-2026-124194）は、Microsoft が「悪用を確認」としています（Microsoft の2026年11月10日のセキュリティ更新ガイド）。 Windows のパソコンと Microsoft 365・Office を使っている会社が対象です。

公表された内容

• 悪用が確認された脆弱性：CVE-2026-124194（Microsoft Outlook のなりすまし。CVSS 3.1 の基本値 6.5）。細工したメッセージのファイルを開くと、外部のコンテンツの警告が出ないまま攻撃者の側へ接続し、Windows の認証に使う情報（NTLMv2 のハッシュ）が漏れるおそれがあるとしています。プレビューウィンドウでは攻撃できないとしています。事前に公開された情報はないとしています
• 対象：Microsoft 365 Apps for Enterprise（32ビット・64ビット）、Office LTSC 2021、Office LTSC 2024
• 深刻度が「緊急」のおもな脆弱性（Microsoft の値。いずれも悪用は確認されていないとしています）
  • Word・Excel・Outlook・PowerPoint などのリモートでコードを実行されるおそれ（各 CVSS 8.8）
  • Exchange Server のリモートでコードを実行されるおそれ（CVE-2026-118207、8.8。悪用される可能性が高いとしています）
  • Active Directory ドメインサービスのリモートでコードを実行されるおそれ（CVE-2026-118146、8.8。同上）
  • Windows Search（CVE-2026-116928、9.8）、LDAP（CVE-2026-119958、9.8）
  • Windows Schannel（CVE-2026-119952、8.1）、Windows NAT（CVE-2026-113862、8.1）。いずれも悪用される可能性が高いとしています
• 修正：Windows Update と Office の更新で当たります。Microsoft 365 Apps は修正の版（ビルド 16.0.17932.21140 など。チャネルごとに異なります）が出ています
• 2026年11月11日の朝の時点で、IPA・JPCERT/CC の今月分の注意喚起はまだ出ていません

中小企業が今日からできること

• パソコンの Windows Update を今週中に当てる：社員のパソコンで「更新プログラムのチェック」をして、再起動まで済ませる。再起動を後回しにすると当たらない
• Office も更新する：Outlook・Word などのアプリで「アカウント」→「更新オプション」から今すぐ更新し、版が新しくなったかを確かめる
• 知らない相手から届いた添付のメッセージファイル（.msg など）を開かない：今回悪用されたのは、細工したメッセージのファイルを開かせる手口です。社内に一言知らせる
• Exchange Server・ドメインコントローラーを自社で動かしているなら優先して当てる：保守会社に任せているなら、当てる日を確かめる
• 外への NTLM の通信を絞る：ファイアウォールで、社外への SMB（445番）の通信を止めているかを確かめる。認証の情報が外へ出る経路を減らせます