マイクロソフト月例更新1,094件　Outlookのゼロデイは悪用確認済み、自社は大丈夫か

　マイクロソフトは11月11日（米国での配信は10日）、11月の月例セキュリティ更新プログラム（Patch Tuesday）を公開した。同社のセキュリティ更新プログラムガイド（MSRC）のリリースノートによると、今回の更新に含まれるMicrosoftのCVE（共通脆弱性識別子）は1,094件という。

　製品群別の修正件数は、Windowsが726件、Officeが174件、SQL Serverが59件、開発ツールが53件、SharePoint Serverが27件、Azureが20件、Exchange Serverが9件、Defenderが1件、その他が25件。このほか、マイクロソフト以外のCVE165件（Chromeを除く）も再掲している。

　注目されるのは、すでに悪用が確認されたゼロデイ脆弱性が1件含まれる点だ。Outlookのなりすまし脆弱性「CVE-2026-124194」で、MSRCは悪用状況を「Exploitation Detected（悪用を検出）」と評価している。更新プログラムの公開前に詳細が公表されていたかを示す「公表済み」は「No」だった。

　MSRCの説明によると、認証されていない攻撃者が細工したメッセージファイルを送り、ユーザーに開かせると、Outlookが通常表示される外部コンテンツの警告を出さずに攻撃者の管理するネットワーク上の場所へ接続し、認証情報が漏れる可能性がある。漏れるのはNTLMv2ハッシュで、攻撃者はこれを使ってユーザーとして認証できるという。

　一方、プレビューウィンドウは攻撃対象ではなく、ユーザーがファイルを開く操作が必要になる。最大深刻度は「Moderate」で、CVSS 3.1の基本値は6.5、現状値は6.2。弱点の種類はCWE-356（ユーザーに危険な操作を警告しないUI）とされている。

　対象はMicrosoft 365 Apps for Enterprise（32ビット版・64ビット版）と、Office LTSC 2024、同2021（いずれも32ビット版・64ビット版）で、各製品向けにセキュリティ更新プログラムが提供されている。ビルド番号は、Office LTSC 2024が16.0.17932.21140、同2021が16.0.14334.21048。