Outlook CVE-2026-124194：2026年11月

OutlookのゼロデイCVE-2026-124194とは何か

CVE-2026-124194は、修正が存在する前に攻撃者に悪用されたMicrosoft Outlookのなりすまし脆弱性で、Microsoftは2026年11月10日にこれをパッチで修正しました^[1][2]。

MicrosoftのSecurity Update Guideは、この脆弱性を「悪用を検出」としており、パッチの前には公に開示されていなかったと述べています^[1]。弱点の種類はCWE-356で、製品が安全でない操作の前にユーザーに警告しないことを意味します^[1][6]。

平たく言えば、Outlookは外部のネットワーク上の場所からコンテンツを取得する前に警告を表示するはずです。このバグがあると、特別に細工されたメッセージファイルによって、Outlookがその警告を表示せずに攻撃者の管理するサーバーへ接続してしまう可能性があります^[1][2]。

BleepingComputerとSecurityWeekによると、これはMicrosoftの2026年11月のリリースで、積極的に悪用されていた唯一のゼロデイでした^[2][3]。Microsoftは、報告者として「nono」として知られる研究者とBenoît Sevens氏を挙げています^[3]。

これはセキュリティ上の欠陥であり、サービス障害ではありません。

OutlookのNTLMハッシュ漏えいはどのように起きるのか

攻撃者が細工されたメッセージファイルを送り、被害者が影響を受けるOutlookでそれを開くと、Windowsが攻撃者のサーバーへのサインインを試み、ユーザーのNTLMv2ハッシュを渡してしまうことがあります^[1][2]。

1. 配信:攻撃者が悪意のあるメッセージファイルをメールなどで共有します^[1]。
2. ユーザーの操作:被害者がOutlookでそのファイルを開きます。Microsoftは、プレビューウィンドウは攻撃経路ではないとしており、開くためのクリックが必要です^[1]。
3. 隠れた接続:Outlookが、通常の外部コンテンツの警告なしに、攻撃者の管理するネットワーク上の場所に接続します^[1]。
4. ハッシュの送信:Windowsが自動的に認証を試み、ユーザーのNTLMv2ハッシュが露出します^[1][2]。
5. 悪用:攻撃者はハッシュをオフラインで解読しようとしたり、それを使ってユーザーとして認証したりできます^[1][2]。

NTLMは古いWindowsのサインインプロトコルです。ハッシュはパスワードそのものではありませんが、BleepingComputerは、取得されたNTLMv2ハッシュはオフラインで解読され得ると述べ^[2]、MicrosoftはNTLMがSMBリレー、中間者攻撃、ブルートフォース攻撃に対して脆弱だと指摘しています^[9]。BleepingComputerはまた、同様のNTLM漏えいの脆弱性が、以前にもフィッシングキャンペーンの悪意のある添付ファイルを通じて悪用されたことがあると指摘しました^[2]。

Microsoftの勧告には、誰が攻撃を受けたのか、どの程度広範囲だったのかについての詳細はありません^[3]。

影響を受けるOutlookのバージョンと修正ビルドは何か

Microsoftは、Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024が、32ビット版と64ビット版の両方で影響を受けるとしています^[1][5]。

2026年11月のOfficeセキュリティリリースは11月10日に公開され、各更新チャネルを対象としています^[5]。MicrosoftはCVE-2026-124194を、そのリリースのOutlookのセクションに記載しています^[5]。下の表は、Microsoftがチャネルとバージョンごとに記載している修正ビルドです。お使いのチャネルとバージョンに一致する行と、ご自身のビルドを比べてください。

ビルドを確認するには、Officeアプリで[ファイル]、[Officeアカウント](または[アカウント])の順に開きます。製品情報のセクションに製品名と、場合によっては完全なバージョン番号が表示され、そのアプリの[バージョン情報]ボタンでも完全なバージョンが確認できます^[10]。更新をインストールするには、[更新オプション]、[今すぐ更新]の順に選びます^[8]。[更新オプション]がなく[バージョン情報]ボタンだけが表示される場合は、ボリュームライセンスか組織の管理下にあるため、Microsoft Updateを使うか、ヘルプデスクに連絡してください^[8]。

SecurityWeekも、影響を受ける同じ3つの製品を挙げました^[3]。Microsoftの勧告が影響を受けるとして挙げているのはOffice製品だけで、修正についてはOfficeのセキュリティリリースノートを案内しているため、Windowsの累積更新プログラムは修正ではありません^[1][5]。

このOutlookのゼロデイはどれほど深刻か

MicrosoftはこれをCVSS 3.1の基本スコア6.5の「中」と評価していますが、すでに攻撃が行われているため、速やかな対応に値します^[1][3][4]。

CVSSのベクターは、ユーザーの操作(ファイルを開くこと)が必要で、機密性への影響は高く、完全性と可用性への影響はないことを示しています^[1]。

スコア以上に実際の緊急性を高める事実が3つあります。

• 悪用の確認:Microsoftは悪用されたものとしており、CISAは2026年11月10日に既知の悪用された脆弱性カタログに追加しました^[1][4]。
• 認証情報の窃取:Microsoftは、漏れたハッシュはユーザーとして認証するために使われ得るとし^[1]、NTLMがリレー攻撃やブルートフォース攻撃に対して脆弱だと指摘しています^[9]。
• フィッシングによる配信:BleepingComputerは、同様のNTLMの脆弱性が以前にもフィッシングキャンペーンの悪意のある添付ファイルを通じて悪用されたと述べています^[2]。

CISAは、米国連邦の文民機関に対し、2026年11月24日までに修正を適用するよう求めました^[4]。CISAは、ランサムウェアグループがこの脆弱性を使ったかどうかは不明だとしています^[4]。日本のJPCERT/CCも、更新を適用するよう促す注意喚起を出しました^[6]。

CVE-2026-124194から身を守るにはどうすればよいか

まず2026年11月のOffice更新をインストールしてください。Microsoftの勧告は、この更新を修正として挙げており、別の回避策は示していません^[1][5]。そのうえで、以下の一般的な強化策を検討してください^[7][9]。

1. Officeを更新する:Outlookで[ファイル]、[Officeアカウント]、[更新オプション]、[今すぐ更新]の順に選ぶか、管理ツールで更新を配布します^[5][8]。
2. ビルドを確認する:Outlookに表示されるビルドを、Microsoftのお使いのチャネル向けの一覧と比べます^[5]。
3. 送信方向のSMBをブロックする:MicrosoftのSMBに関する一般的な指針は、企業のファイアウォールでインターネット向けの送信方向のTCPポート445をブロックするよう勧めており、Azure FilesやOffice 365のようなパブリッククラウドのサービスが必要としない限り、まず必要ないとしています^[7]。これは多層防御であり、この脆弱性についてMicrosoftが挙げている回避策ではありません。
4. ノートパソコンも対象にする:Microsoftは、フィッシングで認証情報を収集する悪意のあるサーバーにユーザーを誘導する攻撃を減らせるため、公共のネットワーク向けにノートパソコンでも送信方向のファイアウォールルールを設けるよう勧めています^[7]。
5. 送信方向のNTLMを制限する:Windowsのポリシー「ネットワーク セキュリティ: NTLM を制限する: リモート サーバーへの発信 NTLM トラフィック」で、送信方向のNTLMを監査または拒否できます。Microsoftは、まず「すべて監査する」を選んでログを確認するよう勧めています^[9]。
6. メッセージファイルに注意する:知っている連絡先からであっても、予期しないメッセージの添付ファイルは開かないでください。

取得されたハッシュはオフラインで解読され得るため^[2]、長くて固有のパスワードがより良い防御になります。Pouyamのガイド Password Managers Explained: How They Work and Whether They Are Safe を参照してください。

不審なメッセージファイルを開いてしまった場合はどうすべきか

一般的な予防策として、サインインしていたWindowsまたは職場のアカウントのパスワードを変更し、ITチームに伝えてサインインログを確認してもらいましょう。

Microsoftの勧告は、この脆弱性がユーザーのNTLMv2ハッシュを開示し、それがユーザーとしての認証に使われ得ると述べています^[1]。すでにそのようなファイルを開いてしまった可能性のある人向けの手順は示されていません。取得されたハッシュは古いパスワードから導かれたものなので、新しいパスワードにすれば、そのハッシュはもうアカウントと一致しません。

• 報告する:ファイルを開いた時刻と送信者を、ITまたはセキュリティ担当者に伝えます。
• メールを残す:削除しないでください。調査担当者が他の受信者を見つけるのに役立ちます。
• サインインを確認する:管理者は、見慣れない場所やデバイスがないか、アカウントの活動を確認できます。
• 多要素認証を使う:解読されたパスワードをオンラインサービスへのサインインに使いにくくしますが、攻撃者がハッシュを解読しようとすること自体は止められません。

送信方向のNTLMポリシーを監査モードにした管理者は、NTLMの運用ログに試行が記録されるのを確認でき、デバイスからのNTLM認証要求を受け取るサーバーを特定できます^[9]。家庭のユーザーの手順はもっと簡単です。Officeを更新し、不審なファイルを開いた場合はパスワードを変更し、2段階認証を有効にしましょう。Pouyamのガイド Two-Factor Authentication Explained: Which 2FA Method Is Safest? が選択肢を比較しています。

2026年11月のパッチチューズデーでMicrosoftは他に何を修正したのか

Microsoftの2026年11月のリリースは1,000を超える脆弱性を修正しましたが、報道機関ごとに数え方が異なります。SecurityWeekは1,094件、BleepingComputerは1,235件と報じました^[2][3]。

どちらの報道機関も、この差を十分には説明していません。BleepingComputerは、その合計には月の初めに修正された108件の脆弱性が含まれていないと述べ^[2]、SecurityWeekは製品別の内訳を示したうえで、Microsoftが再公開したサードパーティの165件のCVEにも触れています^[3]。BleepingComputerは、脆弱性のうち66件が「緊急」と評価されたと述べました^[2]。SecurityWeekは、Windowsの脆弱性を726件、Officeを174件と数えています^[3]。

悪用されたものとして示された脆弱性は、Outlookのバグだけでした^[1][2][3]。SecurityWeekによると、このリリースには、Windows 11 バージョン23H2のEnterpriseおよびEducationエディション向けの最後の月例セキュリティ更新プログラムも含まれていました^[3]。

10月のリリースは過去最大で、BleepingComputerは1,411件、SecurityWeekは1,413件の修正と報じました^[2][3]。BleepingComputerは、MicrosoftがAIを使った脆弱性の発見とパッチ適用を続けていると指摘しました^[2]。家庭のユーザーにとっての実用的な助言は毎月同じです。Windows UpdateとOfficeの更新をインストールさせ、再起動することです。

Outlookのメッセージファイルを使った攻撃はどのように人々に届くのか

このような攻撃は通常フィッシングとして届きます。BleepingComputerが同様のNTLMの脆弱性について説明しているとおり、悪意のある添付ファイルの付いたメールです^[2]。

Microsoftは、攻撃者はユーザーに悪意のあるファイルを開かせる必要があると述べています^[1]。そのため、通常のフィッシングへの警戒が最初の防御線となります。予期しない添付ファイル、急かす依頼、名前とアドレスが一致しない送信者に注意してください。

より幅広いチェックリストについては、Pouyamのガイド What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes を参照してください。

組織は、メールゲートウェイで外部の送信者からのメッセージファイルの添付をフィルタリングしたり、社外からのメッセージであることをユーザーに警告したりすることもできます。これらの手順はパッチの代わりにはなりませんが、そもそもファイルを目にする人の数を減らせます。