IPA（情報処理推進機構）は11月11日、「Microsoft製品の脆弱性対策について（2026年11月）」を公開し、注意を喚起した。Microsoftが同日に公開したセキュリティ更新プログラムに含まれる脆弱性のうち、Outlookに関する「CVE-2026-124194」 について、実際に悪用された事実が確認されていると説明している。

IPAは、今後被害が拡大する恐れがあるとして、早急な対策を求めている。

  • IPAがOutlookの脆弱性について注意喚起している

    IPAがOutlookの脆弱性について注意喚起している

Outlookの脆弱性、Windowsの認証情報が流出する恐れ

CVE-2026-124194は、Microsoft Outlookのなりすましに関する脆弱性。攻撃者が細工したメッセージファイルを利用者に開かせることで、Windowsの認証に使用されるNTLMv2ハッシュが外部に送信される恐れがある。

攻撃者が取得した認証情報を悪用した場合、利用者になりすまして認証を受けるなどの被害につながる可能性がある。

対象の脆弱性では、Outlookのプレビュー画面に表示するだけでは攻撃は成立せず、利用者が細工されたファイルを開く操作が必要になるとされている。

Microsoft 365 Appsなどが対象、更新プログラムの適用を推奨

Microsoftが公開した情報によると、影響を受ける製品は「Microsoft 365 Apps for Enterprise」「Microsoft Office LTSC 2024」「Microsoft Office LTSC 2021」の32ビット版と64ビット版。

修正済みのビルド番号は、Office LTSC 2024が「16.0.17932.21140」、Office LTSC 2021が「16.0.14334.21048」。Microsoft 365 Apps for Enterpriseについては、利用する更新チャネルによって異なるため、Microsoftの公式セキュリティ更新情報で確認する必要がある。

IPAは、Windows Updateなどを通じてセキュリティ更新プログラムを適用するよう呼びかけている。また、企業などで更新プログラムを一元管理している場合は、Microsoftが公開する情報を確認し、早期に更新を展開するよう求めている。

更新プログラムの適用後には、再起動が必要になる場合がある。