情報処理推進機構（IPA）は11月11日、米マイクロソフトが同日（日本時間）に公表した11月の月例セキュリティ更新について、注意喚起を出した。IPAの「重要なセキュリティ情報」の一覧での区分は「緊急」。今回はメールソフト「Outlook」の欠陥（CVE-2026-124194）について、マイクロソフトが悪用の事実を確認済みと公表している。IPAは「今後被害が拡大するおそれがある」として、至急、更新プログラムを適用するよう求めた。
マイクロソフトは毎月、WindowsやOfficeなどの欠陥をまとめて修正する更新を出している。同社のデータでは、6月以降の更新はいずれも第2火曜日（米国時間）の公表で、日本では翌日の水曜日にあたる。同社の公表資料によると、今月の更新で扱う同社製品の欠陥は1094件に上った。
悪用されたのは「警告が出ない」Outlookの欠陥
マイクロソフトの更新ガイドによると、悪用が確認されたCVE-2026-124194は、Outlookが危険な動作の前に利用者へ警告を出さないという欠陥だ。攻撃者は細工したメッセージファイルを送り、利用者に開かせる。開くと、Outlookは外部の内容を読み込むときに通常出す警告を表示しないまま、攻撃者が用意したネットワーク上の場所へ接続する。
この接続の過程で、Windowsの認証方式「NTLM」で使う利用者の認証情報（NTLMv2ハッシュ）が攻撃者に渡る。同社は、攻撃者がこれを使って利用者になりすまし、認証を通れるおそれがあると説明している。分類は「なりすまし（Spoofing）」。攻撃にはネットワークへの接続と、利用者がファイルを開く操作が要る。メールを選んだときに中身を表示する「閲覧ウィンドウ（プレビュー）」は攻撃の経路にならないという。
影響を受ける製品として同社が挙げたのは、「Office LTSC 2021」と「Office LTSC 2024」の32ビット版と64ビット版、企業向けの「Microsoft 365 Apps for Enterprise」の32ビット版と64ビット版の計6つ。修正後の版は、Office LTSC 2021が16.0.14334.21048、Office LTSC 2024が16.0.17932.21140としている。同社は、この欠陥について利用者側の対処が必要だと明記している。欠陥の存在が修正の前に公になっていたかどうかについては「いいえ」としている。
同社の評価は4段階の3番目、それでもIPAは「緊急」
マイクロソフトはこの欠陥の深刻度を、4段階（Critical・Important・Moderate・Low）のうち上から3番目の「Moderate」と評価した。共通の評価指標CVSS（v3.1）の基本値は10点満点の6.5。評価の内訳では、情報が漏れる影響は「高」とする一方、データの改ざんやシステムの停止にはつながらないとしている。
それでもIPAは、この1件を名指しして至急の適用を求めた。理由として挙げたのは、マイクロソフトが悪用の事実を確認済みと公表していることと、今後被害が拡大するおそれがあることだ。CVSSの基本値は欠陥そのものの性質を測るもので、実際に攻撃に使われているかどうかは含まない。深刻度の区分が高くなくても、すでに攻撃に使われている欠陥は、まだ使われていない区分の高い欠陥より先に手当てする必要がある。
この欠陥で起きるのは、ファイルを開いた利用者が気づかないまま認証情報を渡してしまうことだ。マイクロソフトの説明では、攻撃者はそれを使って利用者本人として認証を通れるおそれがある。画面上は警告が出ないため、利用者が異変に気づく手がかりも少ない。
今月の修正は1094件、Windowsが3分の2
マイクロソフトの公表資料によると、11月の更新で扱う同社製品の欠陥1094件のうち、Windowsが726件と全体の約66％を占めた。次いでOfficeが174件、データベースのSQL Serverが59件、開発ツールが53件だった。このほか、同社以外が付番した欠陥165件（ブラウザー「Chrome」の分を除く）についても情報を再掲している。
11月の更新で扱う欠陥の件数（製品群別）（件）
数値で見る（単位: 件）
| 項目 | 件 |
|---|---|
| Windows | 726 |
| Office | 174 |
| SQL | 59 |
| 開発ツール | 53 |
| SharePoint | 27 |
| その他 | 55 |
同社が公開する機械可読データ（CVRF）を本紙が集計したところ、同社が付番した欠陥のうち最も高い区分「Critical」を付けたものは64件あった。Windowsのファイル共有（SMB）や通信の基本機能（TCP/IP）、リモートデスクトップ、Active Directoryなど企業のネットワークの中核を担う機能のほか、Word、Excel、PowerPoint、Outlookといった利用者の多いOfficeのアプリにも及ぶ。いずれも同社は悪用を確認していない。
件数は月によって大きく変わる。同社の公表資料では、7月の更新が663件、8月が457件だった。10月分は同じデータを本紙が数えると1475件で、悪用が確認されたのはWindowsのシェル（画面操作の基盤）の欠陥1件だった。
米政府は11月24日を対処期限に
米サイバーセキュリティ・インフラ安全保障庁（CISA）は米国時間の11月10日、CVE-2026-124194を「悪用が確認された脆弱性の目録（KEV）」に加えた。目録は、実際の攻撃で使われたことが確認された欠陥を一覧にしたもので、CISAは運用指令「BOD 26-04」に沿って、開発元の指示に従った対策を取るよう求めている。米連邦政府機関の対処期限は2週間後の11月24日。ランサムウェア（身代金要求型ウイルス）の攻撃に使われたかどうかは「不明」としている。
CISAの期限は欠陥によって異なる。10月20日に目録に加えた国産のウェブ防御ソフトの欠陥では、期限を3日後の10月23日とした（「国産WAF「SiteGuard」に悪用確認の欠陥 サーバーを最高権限で操られるおそれ」）。今回のOutlookの欠陥は、同じ11月10日に目録に加えた他の欠陥の一部と同じく、2週間の猶予を置いた。同じ日に加えた欠陥には、期限を3日後の11月13日としたものもある。
個人は「Windows Update」、組織は早期の展開を
IPAによると、Windowsのセキュリティ更新は通常、自動で行われる。「Windows Update」を通じて更新プログラムが自動でダウンロードされ、インストールされる。ただし、IPAは適用に再起動が必要になることがあるとしている。更新プログラムはWindows Updateの画面から確認できる。
企業や団体など、更新の配布を管理している組織に対しては、IPAはマイクロソフトの更新情報を参照し、早期に更新を展開するよう求めた。Officeは、同社の更新ガイドが示す修正後の版に上がっているかを確かめる必要がある。
マイクロソフトは、Windows 10とWindows 11の更新は累積型で、毎月のセキュリティ更新にそれまでの修正がすべて含まれると説明している。前の月の更新を適用していない端末でも、最新の更新を入れれば過去の修正もまとめて適用される。一方、同社によると、Windows Server 2008 R2とWindows Server 2008で更新を受け続けるには、有償の延長セキュリティ更新（ESU）の購入が必要になる。