要点
- Microsoft は、2026年11月の月例更新に含まれる Outlook の欠陥 CVE-2026-124194 が、修正の前から悪用されていたと公表した。
- 細工されたメッセージファイルを Outlook で開くと、警告が出ないまま攻撃者のサーバーに接続され、認証情報が漏れるおそれがある。
- Windows・Office・Exchange など、多くの製品に重大な修正が含まれる。まず Outlook を含む Office の更新を優先して当てたい。
何が起きたか
JPCERT/CC は2026年11月11日、マイクロソフトの11月の更新について注意喚起（JPCERT-AT-2026-0035）を出した。内容は、Microsoft がセキュリティ更新プログラムの案内として MSRC ブログに載せた情報を参照している。
悪用が確認されているのは、Outlook の「なりすましの欠陥」CVE-2026-124194 だ。狙われるのは、パスワード関連の情報（認証情報）である。JPCERT/CC の説明では、細工されたメッセージファイルを開いたとき、Outlook は通常の警告を表示しない。そのため利用者が気づかないうちに、攻撃者が用意したサーバーへ接続が行われ、認証情報が外へ漏れる可能性がある。Microsoft は、修正プログラムが出る前に、この欠陥の悪用を確認したと案内している。
ここからは、月例更新の全体像を見る。Microsoft のブログによると、深刻度が最も高い「緊急」には、遠隔コード実行（外部から勝手にプログラムを動かされる欠陥）の修正がある。対象は Windows 11、Windows Server 2025・2022・2019・2016、Microsoft Office、Microsoft Exchange、Microsoft Azure だ。
深刻度が「重要」の遠隔コード実行の修正は、SharePoint、SQL Server、.NET、Visual Studio にある。Dynamics 365 には、権限昇格（より強い権限を奪われる欠陥）の修正が含まれる。
今回確認できた範囲では、悪用が公表されているのは CVE-2026-124194 だけだ。ほかの欠陥の個別の番号や悪用の有無は、確かめられていない。詳しくは Microsoft の更新プログラム ガイドで見てほしい。
日本の利用者への影響
Windows、Office、Outlook は日本の企業や家庭で広く使われている。日本の組織での被害は、今回確認した一次情報には書かれていない。ただ、JPCERT/CC が日本語で注意喚起を出す規模の話であり、対象製品を使う組織は広い。
今すぐやること
- Windows Update（または Microsoft Update）で、2026年11月の更新を当てる。JPCERT/CC もこれを勧めている。
- 優先は Outlook を含む Office の更新だ。悪用が確認されているのはここだ。
- 管理者は、Exchange・SharePoint・SQL Server など社内サーバーの更新も計画に入れる。Exchange は Microsoft の Exchange チームのブログも見る。
- 当たったかどうかを確かめる。Windows の「更新の履歴」で11月分が入っているか見る。会社のパソコンは情報システム部門に聞く。
- すぐ更新できない場合は、出どころの分からないメッセージファイルを Outlook で開かない。更新が難しい環境向けには、Microsoft Update カタログから個別に入手する方法もある。
背景
Microsoft は毎月、第2火曜日（米国時間）ごろにまとめて更新を出す。今月はその中に、公開前から攻撃に使われていた欠陥が含まれていた。認証情報が漏れる欠陥は、そのまま他のシステムへの侵入に使われやすい。そのため、悪用が確認された欠陥は、優先して当てるのが基本になる。次回の予定は2026年12月8日（米国時間）だ。
技術者向けの詳細
- JPCERT/CC: JPCERT-AT-2026-0035（2026-11-11 公開）
- 悪用確認: CVE-2026-124194（Outlook なりすまし、CWE-356＝危険な操作をユーザーに警告しない）
- 緊急（遠隔コード実行）の対象は、Windows 11（v23H2〜v26H2）、Windows Server 2025/2022/2019/2016、Office、Exchange、Azure（Microsoft のブログによる）
- 重要: SharePoint、SQL Server（RCE）、.NET、Visual Studio（RCE）、Dynamics 365（権限昇格）
- Windows Server 2022 Datacenter: Azure Edition は、今月は hotpatch ではなく再起動を伴うベースライン更新になる。注意が要るのは hotpatch 利用環境で、通常の Windows Server 2022 は対象外とされる。
- 影響を受ける版と CVSS は、Microsoft の更新プログラム ガイドで確かめること。
- 更新の確認先: 更新プログラム ガイド、2026年11月リリースノート（日本語）、Microsoft Update カタログ
