Outlookの脆弱性CVE-2026-124194｜悪用済み、更新と確認点
この記事の要点
- Microsoftは2026年11月10日（米国時間）の月例更新で、Outlookのなりすましの脆弱性CVE-2026-124194を修正しました。この脆弱性は更新の公開前から悪用されていたとMicrosoftは公表しています。
- 細工されたメッセージファイルを開くと、Outlookが通常の警告を出さずに攻撃者側へ接続し、NTLMv2ハッシュ（認証情報）が漏れるおそれがあります。プレビューウィンドウは攻撃経路ではありません。
- 対象製品として挙がっているのはMicrosoft 365 Apps for EnterpriseとOffice LTSC 2021・2024です。深刻度は「警告」ですが、米CISAは悪用を確認した脆弱性の一覧（KEV）に加えました。
- 今週は、Officeの更新が修正版のビルドまで進んでいるかを確かめ、社外から届いたファイルの扱いを社内に周知してください。11月11日時点で、MicrosoftはこのCVEの回避策を示していません。
Microsoftは2026年11月10日（米国時間）、11月の月例セキュリティ更新を公開しました。修正した脆弱性のうち、OutlookのCVE-2026-124194は、更新が出る前から攻撃に使われていたことをMicrosoft自身が確認しています[1][2]。JPCERT/CCとIPAも11月11日に注意喚起を出し、更新の適用を呼びかけています[3][4]。
Outlookは、多くの企業で日常的に使われているメールソフトです。今回の脆弱性は、細工されたファイルを開くと、通常の警告が表示されないまま攻撃者が管理する接続先へつながり、認証情報が漏れるおそれがあるというものです[1]。深刻度の表示が「警告」にとどまっているため、後回しにされやすい点にも注意が必要です。
この記事では、対象の製品と修正版のビルド、攻撃が成り立つ条件、更新とあわせて確認すること、2023年の似た脆弱性でMicrosoftが示した対策を順に整理します。情報は2026年11月11日時点のものです。
何が起きたのか？
Microsoftは11月の月例更新で、OutlookのCVE-2026-124194を含む脆弱性を修正しました。このCVEは更新の公開前から悪用されていた、いわゆるゼロデイ脆弱性です。Microsoftの情報では、事前に一般へは公開されていませんでした[1][2]。米CISAは同じ11月10日に、悪用を確認した脆弱性の一覧（KEV）に追加しています[5]。
11月10日（米国時間）
Microsoftが11月の月例更新を公開
CVE-2026-124194は更新の公開前に悪用を確認したと発表[2]。Microsoft 365 AppsとOfficeの修正版ビルドも同日に公開[7]。
11月10日（米国時間）
米CISAがKEVに追加
米国の連邦政府機関には11月24日までの対応を求めています[5]。
11月11日（日本時間）
JPCERT/CCとIPAが注意喚起
12月8日（米国時間）
次回の月例更新（予定）
Microsoftが公表している次回の公開予定日です[2]。
今月の更新は件数も大きく、海外メディアのBleepingComputerは、同社の数え方で1,235件の脆弱性を修正したと報じています。このうち「緊急」に当たるものは66件です[9]。件数が多い月ほど、悪用が確認された1件を見落とさないことが大切になります。
どのような攻撃で、何が漏れるのか？
攻撃者は細工したメッセージファイルを送り、利用者に開かせます。開くと、Outlookが通常表示される外部コンテンツの警告を出さないまま、攻撃者が用意したネットワーク上の場所へ接続し、認証情報が漏れるおそれがあります[1][3]。
ファイルを開くと、Outlookが通常の外部コンテンツの警告を表示しないまま、攻撃者が管理するネットワーク上の場所へ接続し、利用者になりすますのに使える認証情報を漏らすおそれがあります。悪用にはネットワーク接続とユーザーの操作が必要です。
Opening the file could cause Outlook to connect to an attacker-controlled network location without displaying the usual external-content warning, potentially disclosing authentication information that could be used to impersonate the user. Exploitation requires network connectivity and user interaction.
漏れるのは、Windowsのログインに使われる認証方式NTLMのNTLMv2ハッシュです。Microsoftは、攻撃者がこれを使って利用者として認証できる可能性があると説明しています[1]。パスワードそのものではありませんが、社内のシステムへ利用者になりすましてログインする足がかりになりえます。
一方で、攻撃が成り立つ条件もはっきりしています。攻撃者は認証を必要としませんが、利用者がファイルを開く操作が必要です[1]。Microsoftは、プレビューウィンドウで表示しただけでは攻撃は成り立たないとしています[1]。米CISAの評価（SSVC）でも、悪用は「活発（active）」、自動化は「できない（no）」とされています[6]。
自社のOutlookは対象か？
対象として挙げられているのは、Microsoft 365 Apps for EnterpriseとOffice LTSC 2021・2024です（いずれも32ビット版と64ビット版）[1]。製品名に「Windows」の記載はありませんが、32ビット・64ビットの区分から、編集部はWindows版のOfficeを指すものと見ています。11月10日に公開された修正版のビルドまで更新されていれば、今回の脆弱性は修正済みです[7]。
| 製品・更新チャネル | 修正版（バージョン／ビルド） |
|---|---|
| Microsoft 365 Apps 最新チャネル | バージョン2610（ビルド20527.20196）以降[7] |
| Microsoft 365 Apps 月次エンタープライズチャネル | 2610（20527.20194）、2609（20430.20264）、2608（20326.20320）以降[7] |
| Microsoft 365 Apps 半期エンタープライズチャネル | 2610（20527.20192）、2609（20430.20262）、2608（20326.20318）以降[7] |
| Office 2024・Office 2021（リテール版） | バージョン2610（ビルド20527.20196）以降[7] |
| Office LTSC 2024（ボリュームライセンス版） | バージョン2408（ビルド17932.21140）以降[1][7] |
| Office LTSC 2021（ボリュームライセンス版） | バージョン2108（ビルド14334.21048）以降[1][7] |
2026年11月11日時点。CVE-2026-124194の対象製品一覧に挙がっているのは、Microsoft 365 Apps for EnterpriseとOffice LTSC 2021・2024です。上のチャネル別のビルドは、11月10日の更新をまとめたMicrosoftのリリースノートによるもので、その中のOutlookの項にCVE-2026-124194が載っています。このリリースノートはMicrosoft 365 Apps for businessも対象にしているため、Business版を使っている場合も同じビルドまで更新しておくのが安全です。
Microsoftは、同社の製品は一部の例外を除いて既定で自動更新が有効になっているとしています[2]。それでも、管理者が更新の配信を止めたり遅らせたりしている組織では、修正版に届いていないことがあります。端末ごとのバージョンとビルドは、管理ツールか各端末のOfficeのアカウント画面で確かめてください。
Office 2019はこのCVEの対象製品一覧にありません。サポートは2025年10月14日に終了しており、Microsoftは終了後も同社の判断で更新を出すことがあるとしています[7]。11月10日のリリースノートにもOffice 2019のビルド（バージョン1808、ビルド10417.20236）が載っていますが、このCVEとの関係は示されていません[7]。サポートが終わった製品には、修正が届く保証がありません。まだ使っている端末があれば、今回をきっかけに入れ替えの計画を立ててください。
今週中に何をすればよいか？
まずはOfficeの更新を修正版まで進め、再起動まで済ませることです。IPAは、更新の適用に再起動が必要になることがあると案内しています[4]。そのうえで、利用者がファイルを開く操作が攻撃の条件になっている以上、社内への周知も同じくらい効果があります。
今週中に確認すること
- 管理しているPCのOfficeが、上の表の修正版ビルド以降になっているか（Intuneなどの管理ツールか、各端末の「Officeアカウント」で確認）
- 更新の配信を一時停止・延期する設定にしていないか。している場合は、今月分を前倒しで配信する
- 社外から届いたメールの添付ファイル、特に見慣れないメッセージファイルを開かないよう、全社に短く周知したか
- Office 2019など、サポートが終わったOfficeを使っている端末が残っていないか
- Windowsの月例更新もあわせて適用したか（Windows 10は延長セキュリティ更新（ESU）に加入した端末かEnterprise LTSCだけが対象）
Windows 10は2025年10月14日にサポートが終了しています[11]。11月のWindows 10向け更新KB5131096を受け取れるのは、Enterprise LTSCを使っている端末か、延長セキュリティ更新プログラム（ESU）に加入した端末です[10]。ESUに加入していないWindows 10が社内に残っていれば、Officeを更新しても、Windows側の修正は届かない状態が続きます。
周知の文面は長くする必要はありません。「社外から届いた見慣れない添付ファイルは開かずに担当者へ転送する」「開いてしまったら隠さずにすぐ連絡する」の2点を伝えれば十分です。今回の攻撃では、開いた時点で通常表示される外部コンテンツの警告が出ないため、利用者自身が気づくのは難しいと考えられます[1]。開いたかどうかを早く知らせてもらえる雰囲気づくりが、そのまま被害の早期発見につながります。
認証情報の漏えいを広げないために、何を見直すか？
今回のCVEについて、Microsoftは更新以外の対策を示していません[1]。ただし、同じようにOutlookからNTLMの認証情報が漏れた2023年の脆弱性CVE-2023-23397では、Microsoftが調査と対策の手引きを公開しています[8]。今回の脆弱性に効くとMicrosoftが述べたものではありませんが、認証情報が社外へ出ていく経路を減らす一般的な対策として参考になります。
| 項目 | CVE-2023-23397（2023年3月） | CVE-2026-124194（2026年11月） |
|---|---|---|
| 利用者の操作 | 不要。Outlookが開いていれば、リマインダーが作動するだけで発動[8] | 必要。細工されたファイルを開いた場合[1] |
| 漏れるもの | Net-NTLMv2ハッシュ[8] | NTLMv2ハッシュ[1] |
| 漏れた後に考えられる悪用 | 他のシステムへの中継（リレー）か、オフラインでのパスワード解析[8] | 利用者としての認証に使われるおそれ[1] |
| Microsoftが示した更新以外の対策 | Protected Usersグループの利用、外向きのTCP 445（SMB）の遮断[8] | 記載なし（11月11日時点）[1] |
2023年の脆弱性は今回とは別のものです。対策欄は2023年の手引きに書かれた内容で、今回のCVEへの効果をMicrosoftが述べたものではありません。
2023年の手引きでMicrosoftは、社内ネットワークから外へ向かうTCP 445番（ファイル共有に使うSMB）の通信を、境界のファイアウォール、端末のファイアウォール、VPNの設定で遮断するよう勧めています[8]。在宅勤務の端末については、分割トンネルのVPNで社外にいるときも遮断が効いているかを確認するよう求めています[8]。なお同じ手引きは、SMBを遮断するとWindowsがWebDAVで接続を試みることにも触れています[8]。今回のCVEがどの通信を使うかをMicrosoftは示していないため、遮断だけで防げるとは言えません。
もう一つは、ドメイン管理者など重要なアカウントを「Protected Users」グループに入れる方法です。このグループに入ったアカウントはNTLMで認証できなくなります[8]。Microsoftは、NTLMを必要とするアプリに影響が出る可能性があること、ドメイン管理者のような重要度の高いアカウントで可能な範囲で使うべきことを挙げています[8]。
AIの時代に、月例更新との向き合い方は変わるか？
まず変わるのは件数だと考えます。BleepingComputerは、11月の1,235件は過去最多だった10月の1,411件に続くものだと伝え、MicrosoftがAIを使って脆弱性を見つけ、修正し続けていることにも触れています[9]。件数が増えた理由をMicrosoft自身が説明したわけではありませんが、すべての修正内容に目を通す運用は、多くの組織で難しくなっています。
今回のCVEの謝辞には2件の記載があり、そのうち1件は「Benoît Sevens using Claude with Anthropic」と、AIを使ったことが分かる書き方になっています[1]。脆弱性を見つける側でAIの利用が広がれば、修正の数はさらに増えていくと考えられます。
件数が増えるほど、優先順位の付け方が問われます。編集部としては、①Microsoftが悪用を確認したもの、②米CISAのKEVに載ったもの、③JPCERT/CCやIPAが注意喚起を出したもの、の順に確認し、それ以外は自動更新に任せる運用を勧めます。今回のCVEは①〜③のすべてに当てはまります[2][3][4][5]。社内で使っているソフトウェアの一覧があれば、こうした情報と照らし合わせて関係するものだけを拾えます。AIの利用で生まれる新しいリスクと守り方は、AIセキュリティとはでも整理しています。
同じように「公的機関が悪用を確認した」脆弱性への対応は、SonicWall SSL-VPNの多要素認証回避や10月のVPN・ファイアウォールの脆弱性でも取り上げています。
まとめ
OutlookのCVE-2026-124194は、細工されたファイルを開くと、通常の警告が出ないまま攻撃者側へ接続し、認証情報（NTLMv2ハッシュ）が漏れるおそれがある脆弱性で、Microsoftは更新の公開前に悪用を確認しています[1][2]。深刻度は「警告」ですが、米CISA・JPCERT/CC・IPAがそろって対応を呼びかけています[3][4][5]。
今週やることは、Microsoft 365 AppsとOffice LTSCを修正版のビルドまで更新して再起動すること、社外から届いた見慣れないファイルを開かないよう周知することです。あわせて、サポート切れの端末が残っていないか、2023年の類似事例でMicrosoftが示した外向きSMBの遮断ができているかも確かめておくと、認証情報の流出経路を減らせます。疑問点はよくあるご質問も参考にしてください。
よくある質問
CVE-2026-124194はどのような脆弱性ですか？
Outlookのなりすましの脆弱性です。攻撃者が細工したメッセージファイルを利用者に開かせると、Outlookが通常の外部コンテンツの警告を出さずに攻撃者側へ接続し、利用者のNTLMv2ハッシュが漏れるおそれがあります。Microsoftは、更新の公開前から悪用されていたとしています。
メールをプレビューで見ただけでも危険ですか？
Microsoftは、プレビューウィンドウはこの脆弱性の攻撃経路ではないと説明しています。攻撃が成り立つには、利用者が細工されたファイルを開く操作が必要です。更新を適用していない状態で開くと、通常の外部コンテンツの警告が表示されないため、本人が気づくのは難しいと考えられます。
対象になるOfficeはどれですか？
2026年11月11日時点の対象製品一覧に挙がっているのは、Microsoft 365 Apps for EnterpriseとOffice LTSC 2021・2024（32ビット版・64ビット版）です。11月10日に公開された修正版のビルド以降に更新されていれば修正済みです。
深刻度が「警告」なのに、なぜ急いで更新する必要があるのですか？
実際の攻撃で使われていたことをMicrosoftが確認しており、米CISAも悪用を確認した脆弱性の一覧に加えたためです。深刻度は影響の大きさの目安で、狙われているかどうかは別に確認する必要があります。
更新以外にできる対策はありますか？
Microsoftは今回のCVEについて回避策を示していません。2023年の似た脆弱性では、外向きのTCP 445番（SMB）の通信の遮断や、重要なアカウントをProtected Usersグループに入れる方法を示しており、認証情報の流出経路を減らす一般的な対策として参考になります。
出典・参考資料
- 注意喚起Microsoft Outlook Spoofing Vulnerability（CVE-2026-124194）
- 公式発表2026 年 11 月のセキュリティ更新プログラム (月例)
- 注意喚起2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起
- 注意喚起Microsoft 製品の脆弱性対策について(2026年11月)
- 注意喚起Known Exploited Vulnerabilities Catalog
- 注意喚起CVE-2026-124194 Detail
- 公式発表Release notes for Microsoft Office security updates
- 調査レポートGuidance for investigating attacks using CVE-2023-23397
- 記事Microsoft November 2026 Patch Tuesday fixes 1,235 flaws, Outlook zero-day
- 記事Microsoft releases Windows 10 KB5131096 extended security update
- 公式発表Windows 10 Home and Pro - Microsoft Lifecycle
本記事の事実関係は、2026.11.11 時点で上記の出典をすべて再確認しています。 独立したファクトチェックで修正11件・要注記9件を反映。日付は特記のない限り米国時間。対象製品・修正版・悪用状況は変わる可能性があります。最新の情報はMicrosoftのセキュリティ更新プログラム ガイドと米CISAのKEVを確認してください。
AIセキュリティの基本は「AIセキュリティとは」で解説しています。
