要点
- Outlook の欠陥 CVE-2026-124194 は、すでに悪用が確認されている。
- 細工されたメッセージファイルを開くと、警告なしにログイン用の情報（NTLMv2 ハッシュ）が相手に渡りうる。
- 米 CISA は 2026年11月10日に、悪用が確認された欠陥の一覧（KEV）へ加えた。月例更新で直るので、早めに当てたい。
何が起きたか
Microsoft は 2026年11月10日（米国時間）の月例パッチで、Outlook の欠陥 CVE-2026-124194 を修正した。Microsoft の advisory（公式の注意情報）は、この欠陥が「悪用を検知済み」だと示している。一般には公開されていなかった欠陥で、いわゆるゼロデイにあたる。
欠陥の中身はこうだ。Microsoft の説明によると、攻撃者が細工したメッセージファイルを送り、ユーザーが開く。すると Outlook が、外部の内容に接続するときの通常の警告を出さないまま、攻撃者の用意した場所へつながることがある。その結果、ユーザーの NTLMv2 ハッシュが相手に渡りうる。
NTLMv2 ハッシュとは、Windows がログインの証明に使う情報の一種だ。Microsoft は、攻撃者がこれを使ってそのユーザーとして認証できる可能性があると説明している。BleepingComputer は、渡ったハッシュが攻撃者に取得され、オフラインで解読されうるとも書いている。
条件もある。ユーザーがファイルを開く操作が要る。Microsoft は、プレビュー表示（開かずに中身を見る画面）は攻撃の経路ではないとしている。深刻度は 6.5 の「Moderate」だ。ただし実際に悪用されている。どんな攻撃で、誰が狙われたかは、advisory には書かれていない。
対象は Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024 と報じられている（SecurityWeek）。報告者は「nono」を名乗る研究者と Benoît Sevens 氏だ。
CISA の KEV には、同日付で追加された。対応期限は 11月24日だ。
件数は報道で食い違う。月例パッチの総数を、BleepingComputer は 1,235 件、SecurityWeek は 1,094 件と書いている。数え方が違うとみられ、ここでは確定した数字として扱わない。なお SecurityWeek は、今月は前月の 10月より小さいとしている。
日本の利用者への影響
日本での利用状況や、日本の組織・個人への影響について、確かめた一次情報には記述がない。分からない、というのが現状だ。
今すぐやること
- 自分の Office が Microsoft 365 Apps か、Office LTSC 2021/2024 かを確かめる。該当するなら、Office の更新を最優先で当てる。
- 管理者は、11月の月例更新を社内の PC へ配る。Windows 側の更新も合わせて当てる。
- 更新が入ったかは、Windows Update の履歴と、Office の「アカウント」画面の版で確かめる。
- 出どころの分からないメッセージファイル（.msg など）は、更新が済むまで開かない。メールの添付でも同じだ。
- 管理者は、社内から外部への SMB 通信（ファイル共有に使う通信）を制限できているかを見直す。NTLM の利用を減らす取り組みも検討する。
背景
BleepingComputer によると、ハッシュは攻撃者に取得され、オフラインで解読されうる。同じく BleepingComputer は、似た欠陥が過去にも悪用されており、たいていはフィッシングメールの悪意ある添付ファイルを通じて使われたと書いている。
11月の月例パッチは件数が大きい。SecurityWeek によると、前月の 10月は過去最多の件数だった。2026年は 5,000 件超が修正済みだ。更新の量が多いほど、管理者が全部を試して配る余裕は減る。そのなかで、悪用済みの欠陥を先に選んで当てる判断が重くなる。
なお SecurityWeek によると、今回は Windows 11 23H2 の Enterprise と Education にとって、最後の月例更新でもある。該当する環境は、新しい版への移行を急ぎたい。
技術者向けの詳細
- CVE: CVE-2026-124194（Microsoft Outlook Spoofing / CISA の呼称は Missing User Interaction for Potentially Unsafe Action）
- 弱点の種類: CWE-356（UI が危険な操作を警告しない）
- CVSS: 基本値 6.5、深刻度 Moderate（CVSS の版と現在値は未確認。MSRC の原文で確かめること）
- Microsoft の状態: Exploitation Detected、未公開（Not publicly disclosed）
- 攻撃の条件: 細工したメッセージファイルをユーザーが開く。ネットワーク接続が要る。プレビュー表示は経路でない
- 影響: NTLMv2 ハッシュの漏えい
- CISA KEV: 追加 2026-11-10、期限 2026-11-24。フォレンジック調査（BOD 26-04 の下）は求められていない
- 対象（SecurityWeek による）: Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024
- KB 番号と版の番号は、一次情報の取得で確認できなかった。Microsoft の Security Update Guide と更新履歴で確かめること
- 確かめ方の例（Windows の更新履歴に 11月分が入っているか）:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10
