Microsoftは11月10日(米国時間)、毎月恒例のセキュリティ更新(通称「パッチチューズデー」)を公開し、WindowsやOfficeなど自社製品にある合計1,259件の欠陥を修正しました。内訳はWindowsが726件、Officeが174件などで、1か月の修正が1,000件を超えるのは2か月連続です。セキュリティ企業Tenableの研究者によると、同社が今年に入って対処した欠陥は5,100件を超えています。
今回とくに注意が必要なのは、メールソフト「Outlook」に見つかった脆弱性(CVE-2026-124194)です。CVEは欠陥1件ごとに付けられる世界共通の管理番号で、深刻度を10点満点で示すCVSSスコアは6.5、Microsoftの評価は「中(Moderate)」です。ただし、Microsoftはこの欠陥がすでに実際の攻撃に悪用されていると認めています。
攻撃者が細工したメッセージファイルを送りつけ、受け取った人がそれをOutlookで開くと、Outlookが本来出すはずの「外部のコンテンツです」という警告を表示しないまま、攻撃者の用意したサーバーに接続してしまう可能性があります。その際に「NTLMv2ハッシュ」と呼ばれる認証用のデータが相手に渡るおそれがあります。これはパスワードそのものではありませんが、Windowsが「本人であること」を証明するために使うデータで、盗まれると本人になりすまして社内の他のシステムに入り込まれる危険があります。セキュリティ企業Action1の研究者は、ファイルを1回開くだけで成立し、ほとんどの組織がOutlookを使っていることから「『中』という評価は実態より軽く見える」と指摘しています。誰が攻撃しているのか、どのように悪用されているのかの詳細は公表されていません。
米国のサイバーセキュリティ機関CISAは、この欠陥を「悪用が確認された脆弱性」の一覧に加え、連邦政府機関に対して11月24日までに修正を適用するよう求めました。このほか今回の更新には、Windowsの検索機能や暗号通信の部品(Schannel)などにある、遠隔コード実行(離れた場所から勝手にプログラムを動かされること)の欠陥の修正も含まれています。
個人の利用者が取るべき対策はシンプルです。Windows Updateを開いて11月の更新を適用し、Officeも最新の状態にしてください。あわせて、心当たりのない相手から届いたメールの添付ファイルは開かない、という基本を改めて徹底しましょう。企業の担当者に向けては、セキュリティ企業watchTowrの専門家が「まずインターネットに公開されているもの、次にすでに悪用されているもの、その後に残りすべて」という順番で対応するよう勧めています。件数の多さに慌てる前に、そもそも該当する機能を自社で使っているかを確かめることが大切です。