セキュリティ2026/11/13 21:07 UTC·2 分で読めます

OutlookのCVE-2026-124194、警告なしで認証情報が漏れる恐れ

Outlookで細工されたメッセージファイルを開くと、警告なしに攻撃者のサーバーへ接続し、Windowsの認証情報が漏れる恐れがあった。修正前から悪用も確認されている。

A laptop showing the Outlook email client with a red security warning shield overlaid on the screen. — 画像: ギズモード・ジャパン

SUMO：数字パズル

Dialo：話して学ぶ語学アプリ

ediviewer：EDIファイルを文書のように読む

giftdetect：数分でぴったりの贈り物

毎日何通ものファイルを開く中で、私たちが身構えられるのは、パソコンが「外部につながります」と警告してくれるからでもあります。OutlookのなりすましCVE-2026-124194は、その警告が出ないまま通信が起きる脆弱性です。

Microsoftは11月10日（米国時間）、11月の月例セキュリティ更新プログラムでこの脆弱性を修正しました。しかも公開前の時点で、すでに悪用が確認されていました。

CVE-2026-124194とは何か

JPCERT/CCの注意喚起によると、細工されたメッセージファイルをOutlookで開くと、通常の警告が出ないまま攻撃者の管理するサーバーへ接続し、Windowsのネットワーク認証に使われる情報が漏れる可能性があります。入手した側は、その人として認証を通せる場合があります。

送信元アドレスを偽る「なりすましメール」とは別で、受信者のパソコン内で起きる問題です。影響を受けるのは、Microsoft 365 Apps for Enterprise、Office LTSC 2021、同2024に含まれる修正前のWindows版クラシックOutlookです。

どう対策すればいいか

Outlookを含むOffice製品に最新の更新を適用します。Windows UpdateやMicrosoft Updateを確認するほか、クラシックOutlookでは「ファイル」→「Officeアカウント」→「更新オプション」→「今すぐ更新」で手動更新できる場合があります。IPAも「今後被害が拡大するおそれがある」として至急の適用を呼びかけています。会社のパソコンは情報システム部門の案内に従ってください。

今月の修正は1093件

今月の更新で修正された脆弱性はCVE番号ベースで1093件、うち最大深刻度が「緊急」は63件でした。Tenableの集計では2025年の1年間が1130件です。英国NCSCは2026年5月、AIが脆弱性発見を加速させているとして「パッチの波」への備えを呼びかけており、公開から悪用までの時間も数日単位に縮まっているとしています。