Microsoft、Outlookのゼロデイを修正――11月のPatch Tuesdayで1,000件超のバグに対応

Microsoftの11月のPatch Tuesdayでは、今回も広範なセキュリティ修正が提供されたが、Outlookの脆弱性には早急な対応が必要だ。

2026年11月の更新では、Microsoftのソフトウェア製品群全体で報告された1,000件を超える脆弱性に対処している。その中には、Windowsの認証情報を露出させる可能性がある、現在悪用中のOutlookのゼロデイ脆弱性も含まれる。

CVE-2026-124194として追跡されているこの脆弱性の深刻度は「Moderate（中）」で、CVSSスコアは6.5だ。この評価にもかかわらず、悪用が報告されているため、影響を受けるバージョンのMicrosoft 365 AppsおよびOfficeを利用する組織にとって優先度の高い問題となっている。

この脆弱性を悪用すると、細工されたメッセージファイルをユーザーが開いた際に、攻撃者がNTLM認証情報を取得できる可能性がある。これにより、企業システムに対するさらなる攻撃が可能になるおそれがある。

攻撃者は、取得したハッシュを解読または中継して被害者になりすまし、企業リソースにアクセスしようとする可能性がある。攻撃にはユーザーの操作とネットワーク接続が必要だが、Microsoftによると、プレビューペインは攻撃経路ではない。

Microsoftは、攻撃者の身元や影響を受けた組織、キャンペーンの規模を明らかにしていない。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は追加したこの脆弱性を既知の悪用された脆弱性（KEV）カタログに登録し、連邦政府機関に対して11月24日までに修正を適用するよう求めている。

Action1で脆弱性リサーチ部門のディレクターを務めるJack Bicer氏は、「Moderate（中）」という評価ではリスクを過小評価していると警告し、組織に対してOutlookのインストールを直ちに更新するよう推奨した。まず管理者やその他の高価値アカウントから着手すべきだという。

重大な脆弱性はOutlook以外にも

今回のゼロデイは、63件の重大な脆弱性を含むリリースの一部にすぎない。認証情報を盗んだり、従業員をだまして悪意のあるファイルを開かせたりしなくても、攻撃者がシステムを侵害できる可能性があるため、ほかにも優先すべき脆弱性がいくつかある。

特に深刻なものは次のとおりだ。

Action1のJack Bicer氏は、LDAPの脆弱性によって、認証されていない攻撃者が「ディレクトリ内のユーザー、グループ、コンピューター」を管理するディレクトリサービスにアクセスできる可能性があると警告した。同氏はさらに、「この境界外書き込みのスコアは9.8で、容易に引き起こせる」と述べた。攻撃に成功すれば認証情報が露出し、不正な管理者アカウントを作成できるほか、ランサムウェアの展開への経路となる。

Microsoftも、Exchange ServerとMessage Queuingに存在する深刻な弱点に対処した。侵害されたメッセージング基盤は、業務上の通信を露出させ、内部のメッセージ処理に依存するアプリケーションを妨害する可能性があるため、これらにも注意が必要だ。

企業がAIサービスを社内の情報やワークフローに接続するケースが増える中、Azure OpenAIの脆弱性も懸念材料となる。

Action1の社長兼共同創業者であるMike Walters氏は、権限の不正な昇格によって「プロンプト、モデルの出力、接続されたデータ、ビジネスロジックが露出したり、攻撃者がサービスを悪用してコストを膨らませたりする可能性がある」と警告。さらに、「ここで侵害が起きれば、機密情報が漏えいし、AI主導のプロセスへの信頼が損なわれ、コンプライアンス上の問題が生じる可能性がある」と付け加えた。

AIによる脆弱性発見で防御側への圧力が高まる

11月も、1,000件を超える脆弱性に対処する月となった。これは記録的な件数となった10月のリリースに続くものだ。

Zero Day Initiativeで脅威認識部門の責任者を務めるDustin Childs氏は、eSecurity Planetへのメールで次のように警告した。「1,000件を超えるCVEが2カ月連続で記録されたことは、自動化されたバグハンティングによってパッチの量が恒久的にリセットされたことを示している。しかし、現在悪用されているゼロデイがゼロだからといって、誤った安心感を抱いてはならない。AIによってパッチの差分分析やエクスプロイトの生成がほぼ瞬時に行われる今、更新プログラムが公開された瞬間に脅威の窓が開く」

Childs氏は、Exchangeサーバーとドメインコントローラーを優先し、外部に公開されたDNSおよびDHCPサービスを制限するとともに、クラウドサービスに手動の管理者対応が必要かどうかを確認するよう推奨している。

セキュリティチームにとって、より大きな課題は、もはや脆弱性を特定することだけではない。数百件のパッチ適用要件が同時に発生して管理者を圧倒することなく、どのシステムに直ちに対応する必要があるかを判断することだ。

11月の更新がWindowsおよびOfficeユーザーに意味すること

Windowsの累積更新プログラムをインストールすれば、Outlookのゼロデイも自動的に修正されるとは限らない。Outlookの脆弱性には該当するOfficeセキュリティ更新プログラムが必要なため、ITチームはWindowsとMicrosoft 365またはOfficeの両方のインストールが対象になっていることを確認する必要がある。

Windows 11ユーザー向けの更新には、セキュリティと信頼性に関する追加の変更も含まれる。ただし、利用可能かどうかや動作は、インストールされているバージョンによって異なる場合がある。

管理者は、悪用が確認された脆弱性とインターネットに公開されたシステムを優先し、その後、環境への露出度と業務上の重要性に応じて、残る重大な脆弱性に対応していくべきだ。

個人ユーザーにとっては、利用可能なWindowsおよびOfficeの更新を速やかにインストールし、予期しないメールの添付ファイルを慎重に扱うことが、引き続き重要な予防策となる。

Outlookの事例は、深刻度が「Moderate（中）」と評価されていても、必ずしも運用上のリスクが中程度であることを意味しないと示している。特に、攻撃者がすでに悪用している場合はなおさらだ。

そのほかのニュースとして、 「worse_query」と呼ばれる新たに公表されたiOSの脆弱性により、悪意のあるアプリがAppleのサンドボックス保護を回避し、ログイン認証情報や暗号資産ウォレットの鍵など、他のアプリが保存する機密データにアクセスできる可能性がある。ただし、確認済みの修正はまだ提供されていない。