結論
CVE-2026-124194とは、Microsoft Outlook（Windows版のOfficeのOutlook）にある、すでに攻撃に使われていることが確認された脆弱性です。細工された「メッセージファイル」を利用者が開くと、Outlookがいつもの警告を出さずに攻撃者のサーバーへ接続し、Windowsの認証に使う情報（NTLMv2ハッシュ）が送られてしまうおそれがあります。盗まれた情報は、その人になりすますことに使われえます。Microsoftは2026年11月10日（米国時間）の月例の更新で修正し、IPAは11月11日に至急の更新を呼びかけました。対象はMicrosoft 365 Apps、Office LTSC 2021、Office LTSC 2024です。プレビュー表示だけでは攻撃は成り立たず、ファイルを開く操作が必要です。注意したいのは、修正はOfficeの更新で届き、Windows Updateの累積更新だけでは直らないことです。Outlookの画面で、更新されているかを確かめてください。
CNET Japanなどが11月12日、「Microsoft Outlookの脆弱性、悪用を確認」と報じました。Microsoftの11月の月例の更新では1,000件を超える脆弱性が修正されましたが、そのうち修正の前から攻撃に使われていたと確認されたのは、このOutlookの1件です。
この記事では、何が起きるのか、対象の製品と修正版、企業が今日やることを整理します。自分のOutlookが更新済みかを確かめる手順と、社員への周知文の例は自分のOutlookは更新済み？3分で確かめる手順にまとめました。
この記事の情報について
Microsoft、IPA、JPCERT/CCの公開情報と、海外のセキュリティ会社・報道をもとにまとめています。攻撃の具体的な手口は、悪用を防ぐため書いていません。
何が起きたのか
| 項目 | 内容 |
|---|---|
| 脆弱性の番号 | CVE-2026-124194（Microsoft Outlook のなりすましの脆弱性） |
| 深刻度 | Microsoftの評価は「警告（Moderate）」、CVSS 3.1の基本値は6.5 |
| 悪用 | 修正の前から悪用が確認されている（Microsoftが公表） |
| 修正 | 2026年11月10日（米国時間、日本時間11日）の月例のセキュリティ更新 |
| 国内の注意喚起 | IPA（11月11日、至急の更新を呼びかけ）、JPCERT/CC（11月11日、JPCERT-AT-2026-0035） |
| 米国の対応 | CISAが「悪用が確認された脆弱性」の一覧に追加し、連邦機関に11月24日までの対応を求めた |
| 発見者 | Microsoftは、AnthropicのClaudeを使って見つけた研究者などを発見者として挙げている |
どんな脆弱性か
MicrosoftとJPCERT/CCの説明をまとめると、次のとおりです。
- 攻撃者は、細工したメッセージファイル（メールを保存したファイル）を送り、相手に開かせます。認証は必要ありません。
- Outlookで開くと、外部の内容を読み込むときにふだん出る警告が出ないまま、攻撃者が用意したネットワーク上の場所に接続します。
- その接続の中で、Windowsの認証に使うNTLMv2ハッシュが攻撃者に送られるおそれがあります。攻撃者はこれを使って、その人になりすまして認証を受けられる可能性があります。
- プレビュー表示（閲覧ウィンドウ）だけでは攻撃は成り立ちません。利用者がファイルを開く操作が必要です。
NTLMv2ハッシュは、パスワードそのものではありませんが、パスワードを割り出す手がかりや、ほかのサーバーへのなりすましに使われることがあります。深刻度の評価は「警告」と中程度ですが、実際に攻撃に使われている以上、評価の数字より優先度は高いと考えてください。
対象の製品と修正版
Microsoftが対象として挙げているのは、次の3つです。IPAが示した修正済みのビルド番号もあわせて載せます。
| 製品 | 修正済みのビルド | 確かめ方 |
|---|---|---|
| Microsoft 365 Apps for Enterprise（32ビット・64ビット） | 更新チャネルによって違う | Outlookで更新を実行し、Microsoftの更新履歴で11月10日以降のビルドかを確かめる |
| Office LTSC 2024（32ビット・64ビット） | 16.0.17932.21140 | Outlookの「ファイル」→「Office アカウント」→「Outlook のバージョン情報」 |
| Office LTSC 2021（32ビット・64ビット） | 16.0.14334.21048 | 同上 |
一覧にないもの
- 新しいOutlook（New Outlook for Windows）、ブラウザー版のOutlook、Mac版、スマホのアプリは、今回の脆弱性の対象の一覧に入っていません。
- Office 2016・Office 2019も一覧にありません。ただし、これらは2025年10月14日にサポートが終わっており、そもそも新しい修正が届きません。まだ使っているパソコンがあれば、今回の件にかかわらず、早めに入れ替えが必要です。
Windows Updateだけでは直らないことがある
海外のセキュリティ会社は、この修正はWindowsの累積更新ではなく、Microsoft 365 AppsとOffice LTSCの更新で届くと説明しています。Windows Updateが済んでいても、Officeが古いままのことがあります。パソコンごとに、Outlookの画面で確かめるのが確実です。手順は確認手順の記事で紹介しています。
企業が今日やる5つのこと
Outlookを最新にする
Outlookの「ファイル」→「Office アカウント」→「更新オプション」→「今すぐ更新」で更新します。情報システムの担当者が一元管理している会社は、11月のOfficeの更新を早めに配ります。更新のあと、Outlookの再起動が必要な場合があります。
社員に「見覚えのないメッセージファイルを開かない」と伝える
更新が行き渡るまでの間、心当たりのない添付ファイル、特にメールの中にメールが添付されたものは開かないよう周知します。周知文の例は確認手順の記事にあります。
古いOfficeが残っていないか確かめる
Office 2016・2019など、サポートが終わった版を使っているパソコンがないかを一覧にします。修正が届かないため、入れ替えを計画します。
開いてしまった人への対応を決めておく
心当たりのないファイルを開いた人がいたら、すぐに担当者へ知らせてもらい、パスワードの変更、サインインの履歴の確認を行います。ログは消さずに残します。
ほかの月例の更新もあわせて入れる
11月の月例では、Outlookのほかにも、悪用はまだ確認されていない重大な脆弱性が多数修正されています。WindowsやExchange Serverなど、使っている製品の更新もあわせて行います。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- 社内のパソコンのOfficeが、全部更新されているか確かめたい
- 古いOfficeを使っているパソコンが残っていないか不安
- 怪しいファイルを開いた社員がいる。何をすればいい？
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
情報システムの担当者向け：あわせて検討したい守り
今回の脆弱性は、パソコンから社外のサーバーへの認証の通信を悪用するものです。Microsoftは今回のCVEについて回避策を示していませんが、一般的に、次のような設定は同じ種類の攻撃への守りになります。業務に影響することがあるため、試してから広げてください。
| 対策 | 内容 | 注意 |
|---|---|---|
| 社外へのファイル共有の通信を止める | ファイアウォールで、社内から社外へのSMB（TCP 445番）の通信を止める | 社外のファイル共有を業務で使っていないか確かめる |
| NTLMの外向きの送信を止める | Windows 11 24H2以降・Windows Server 2025以降は、SMBのクライアントでNTLMを使わない設定ができる | 今回のCVEに効くとMicrosoftは明記していない。社内のファイル共有に影響することがある |
| 多要素認証 | クラウドのサービスに多要素認証を入れ、なりすましの被害を抑える | NTLMの認証そのものは守れない |
NTLMの設定の詳細は、Microsoftの「SMB の NTLM のブロック」の解説をご覧ください。
11月の月例の更新のそのほかの要点
- 修正の数は1,000件を超えました（数え方により1,093件または1,094件）。10月に続いて2か月連続の1,000件超えで、2026年の累計は5,000件を超えたと報じられています。
- Outlookでは、今回の1件のほかに、重大（Critical）な遠隔のコード実行の脆弱性が3件修正されました（CVE-2026-110043、CVE-2026-110068、CVE-2026-111309。悪用は未確認）。同じOfficeの更新で直ります。
- Exchange ServerやWindowsのActive Directory、Schannelなどにも、重大な脆弱性の修正があります。
- 次の月例の更新は、12月8日（米国時間）の予定です。
発見者としてMicrosoftが挙げた研究者の1人は、AnthropicのAI「Claude」を使って見つけたとされています。AIで脆弱性が見つかる速さが上がり、修正の数も増えています。AIと脆弱性の関係は脆弱性を見つけるAIは誰が使える？で解説しています。
よくある質問
CVE-2026-124194とは何ですか？
Microsoft Outlookのなりすましの脆弱性です。細工されたメッセージファイルを開くと、Outlookが警告を出さずに攻撃者のサーバーへ接続し、Windowsの認証に使う情報（NTLMv2ハッシュ）が送られるおそれがあります。修正の前から悪用が確認されており、2026年11月10日の月例の更新で修正されました。
どの製品が対象ですか？
Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024です。新しいOutlook、ブラウザー版、Mac版、スマホのアプリは、今回の対象の一覧にありません。
メールをプレビューしただけで被害にあいますか？
Microsoftによると、プレビュー表示だけでは攻撃は成り立ちません。利用者がファイルを開く操作が必要です。
Windows Updateをすれば大丈夫ですか？
この修正はOfficeの更新で届きます。Windowsの累積更新だけでは直らないことがあるため、Outlookの「ファイル」→「Office アカウント」で、Officeが更新されているかを確かめてください。
Office 2019を使っています。どうすればよいですか？
Office 2019とOffice 2016は2025年10月14日にサポートが終わっており、新しい修正が届きません。今回の対象の一覧には入っていませんが、サポートのある版への入れ替えを急いでください。
怪しいファイルを開いてしまいました。
すぐに社内の担当者へ知らせ、パスワードの変更とサインインの履歴の確認を行ってください。手順は確認手順の記事にまとめています。
まとめ
- CVE-2026-124194は、Outlookのなりすましの脆弱性。修正の前から悪用が確認され、IPAが至急の更新を呼びかけた。
- 細工されたメッセージファイルを開くと、警告なしに外部へ接続し、Windowsの認証情報が送られるおそれがある。プレビューだけでは発動しない。
- 対象はMicrosoft 365 Apps、Office LTSC 2021・2024。修正はOfficeの更新で届くため、Outlookの画面で確かめる。
- 今日やることは、Outlookの更新、社員への周知、古いOfficeの洗い出し、開いた人への対応の準備、ほかの更新の適用。
- 11月の月例は1,000件超の修正。Outlookには、ほかにも重大な脆弱性が3件あった。
出典
- IPA「Microsoft 製品の脆弱性対策について(2026年11月)」（2026年11月11日）
https://www.ipa.go.jp/security/security-alert/2026/1111-ms.html - JPCERT/CC「2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起」（JPCERT-AT-2026-0035）（2026年11月11日）
https://www.jpcert.or.jp/at/2026/at260035.html - Microsoft セキュリティ更新プログラム ガイド「CVE-2026-124194」（2026年11月10日）
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194 - Microsoft「2026年11月のセキュリティ更新プログラム（月例）」（2026年11月）
https://www.microsoft.com/msrc/blog/2026/11/202611-security-update - Microsoft「2026年11月のセキュリティ更新プログラム」リリースノート
https://msrc.microsoft.com/update-guide/ja-jp/releaseNote/2026-Nov - CNET Japan「Microsoft Outlookの脆弱性、悪用を確認–IPAが『至急』更新呼びかけ」（2026年11月12日）
https://news.yahoo.co.jp/articles/3f62d7220e0a295afd5475dee459a025ef926a66 - マイナビニュース「Outlookの脆弱性、すでに悪用を確認 IPAが緊急更新を呼びかけ」（2026年11月13日）
https://news.mynavi.jp/techplus/article/20261113-5313527/ - SecurityWeek「Exploited Outlook Zero-Day Among 1,094 Flaws Patched by Microsoft」（2026年11月）
https://www.securityweek.com/exploited-outlook-zero-day-among-1094-flaws-patched-by-microsoft/ - Tenable「Microsoft’s November 2026 Patch Tuesday」（2026年11月10日）
https://www.tenable.com/blog/microsoft-november-2026-patch-tuesday-addresses-1093-cves-cve-2026-124194 - The Record「Patch Tuesday: Microsoft discloses 1,000 bugs again」（2026年11月）
https://therecord.media/patch-tuesday-microsoft-1000-bugs-again - Splashtop「November 2026 Patch Tuesday: Outlook zero-day leads 1,094 CVEs」（2026年11月）
https://www.splashtop.com/blog/patch-tuesday-november-2026 - Microsoft Learn「SMB の NTLM のブロック」
https://learn.microsoft.com/ja-jp/windows-server/storage/file-server/smb-ntlm-blocking
※本記事は2026年11月13日時点の公開情報にもとづいています。対象の製品や修正版の番号は更新されることがあるため、作業の前にMicrosoft・IPA・JPCERT/CCの最新の情報をご確認ください。
あわせて読みたい
ITとセキュリティの運用のご相談
更新の確認や社内への周知、
一緒に仕組みにしませんか
株式会社仁頼は、Webサイトの制作・保守と、生成AI・DXの導入を支援しています。パソコンやサイトの一覧づくり、更新の確認の手順、社内への周知の文面づくりからご相談いただけます。
相談・見積もりは無料です。
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
