2026年11月のマイクロソフト月例更新が公開、Outlookの脆弱性はすでに悪用済み

発表の要点

• JPCERT/CCが2026年11月11日、マイクロソフトの2026年11月のセキュリティ更新プログラム（月例）について注意喚起を出した。
• 修正対象の脆弱性が悪用されると、遠隔から任意のコードを実行される、機微な情報が漏えいするなどのおそれがある。
• マイクロソフトは、Microsoft Outlook のなりすましの脆弱性（CVE-2026-124194）が悪用されていると公表している。
• この脆弱性では、細工されたメッセージファイルをOutlookで開くと、本来出る警告が出ないまま攻撃者のサーバーへ接続し、認証情報が漏えいするおそれがある。
• 対策は、Microsoft Update や Windows Update などで更新プログラムを適用すること。

関係する企業・しない企業

• 社内でWindowsのPCやサーバーを使っている企業は、ほぼすべてが対象と考えてよい。
• 特に、OutlookでメールをやりとりしているWindows PCがある企業は優先度が高い。悪用がすでに確認されており、メールで届いたファイルを開くだけで認証情報が漏れるおそれがあるため。
• Outlookのどの版（デスクトップ版の各バージョン、新しいOutlook、Web版、Mac版など）が影響を受けるかは出典に書かれていない。マイクロソフトの公開情報で確認が必要。

対応が必要か

※ 2026年11月11日時点の編集部の見解です。修正版の公開や仕様の変更で状況は変わるため、対応の前に出典やメーカーの最新情報もご確認ください。

• 対応は必要。優先度は高く、通常の月例更新よりも早めに、今週中を目安に適用を終えることが望ましい。
• 漏えいのおそれがあるのは認証情報であり、漏れた場合はメールやクラウドサービスへの不正ログインにつながりうる。更新と並行して、従業員への注意喚起も行うとよい。

確認すること・対応方法

1. 更新の適用状況を確認する（社内のIT兼任担当者）
   • 全PC・サーバーで2026年11月の更新が適用されたかを確認する。自動更新に任せている場合も、再起動待ちで止まっている端末がないか見る。
   • Intuneなどの管理ツールで更新を配信している場合は、配信の承認や延期設定で11月分が止まっていないかを確認する。
2. 従業員への周知（総務・管理部門でも可）
   • 心当たりのないメールの添付ファイル（特にメッセージファイル）を開かないよう、全社に短く周知する。
   • 不審なファイルを開いてしまった場合の報告先を明確にしておく。
3. ルールと記録
   • 更新の適用日と対象端末を記録しておく。ISMSなどの管理体制がある企業は、脆弱性対応の記録として残す。
   • 毎月の更新を誰がいつまでに確認するかが決まっていない場合は、この機会に担当と期限を決めておくとよい。