Microsoft Outlookの脆弱性CVE-2026-124194が、2026年11月10日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。Microsoftも、同じ日（11月10日）に公開した自社の情報で、この脆弱性を「悪用を検知（Exploitation Detected）」としています。一方、公開前から知られていたか（publicly disclosed）は「No」です。
まず、Microsoft 365 Apps（Office）を最新に更新して、Outlookを再起動してください。Microsoftによると、攻撃者は細工したメッセージファイルを送り、利用者に開かせます。開くと、Outlookが攻撃者の用意したネットワーク上の場所へ、いつもの「外部コンテンツ」の警告を出さずに接続してしまい、NTLMv2ハッシュ（Windowsのログイン認証に使う値）が攻撃者に渡る恐れがあります。攻撃者は、これを使って利用者になりすませる、とMicrosoftは書いています。メールを選んだだけで表示される「プレビューウィンドウ」は、攻撃の経路ではありません（Microsoft）。
スコアの出どころ：6.5（CVSS v3.1）は、Microsoftが付けた値で、NVDに載っているのもこの1件だけです。区分は、NVDが「MEDIUM」、Microsoftの重大度は「Moderate（中程度）」です。ベクターは「ネットワークから・攻撃の複雑さ低・権限不要・利用者の操作が必要・影響範囲は変わらない・機密性への影響が高・完全性と可用性への影響なし」です。ただし、スコアが中程度でも、すでに悪用されています。数字だけで後回しにしないでください。
何が起きているのか（公表されている範囲）
- ▸CVE-2026-124194：Microsoftの名称は「Microsoft Outlook Spoofing Vulnerability（なりすましの脆弱性）」です。説明は「Outlookの画面が、安全でない操作を利用者に警告しない」というものです。弱点の種類はCWE-356（製品の画面が、安全でない操作を警告しない）です
- ▸攻撃のきっかけ：Microsoftは、攻撃者が「細工されたメッセージファイル」を送り、利用者に開かせることを挙げています。別のFAQでは「悪意のあるOfficeファイルを送り、開くよう説得する」とも書いています。利用者がそのファイルを開く操作が必要です（開かなければ、この経路は成立しません）。MicrosoftのFAQは、送り主が知らない相手であることを条件にしていません
- ▸NTLMv2ハッシュとは：Windowsのログインで、パスワードそのものの代わりに使われる認証用の値です。Microsoftは、これを攻撃者が手に入れると、その利用者として認証できると書いています
- ▸CISAのKEV：11月10日に追加され、米国の連邦機関への対応期限は11月24日です。ランサムウェアの攻撃での利用は「Unknown（不明）」とされています
- ▸対象製品（Microsoftが挙げているもの）：Microsoft 365 Apps for Enterprise（32ビット・64ビット）、Microsoft Office LTSC 2024（32ビット・64ビット）、Microsoft Office LTSC 2021（32ビット・64ビット）です。NVDの対象製品も同じ6つです
今日やること
- ✓★Officeを更新して、Outlookを再起動する。Windowsでは、Wordなど任意のOfficeアプリで新しい文書を作り、「ファイル」→「アカウント」（従来のOutlookでは「Officeアカウント」）を開き、「製品情報」の「更新オプション」→「今すぐ更新」を選びます（Microsoftサポートの案内）。「更新オプション」が見当たらず「バージョン情報」だけのときは、ボリュームライセンス版か、会社が更新を管理しています。その場合は、会社のヘルプデスクに確認してください
- ✓★修正版のビルドを確認する。MicrosoftのMicrosoft 365 Apps向けリリースノートは、11月10日の更新の欄に、このCVEをOutlookの項目として載せています。その日のビルドは、Current Channelがバージョン2610（20527.20196）、Monthly Enterprise Channelが2610（20527.20194）・2609（20430.20264）・2608（20326.20320）、Semi-Annual Enterprise Channelが2610（20527.20192）・2609（20430.20262）・2608（20326.20318）、Office LTSC 2024（ボリュームライセンス）が2408（17932.21140）、Office LTSC 2021（ボリュームライセンス）が2108（14334.21048）です。お使いの版がこれ以上であれば、11月10日の更新は入っています。MicrosoftのMSRCの情報には、Office LTSCの修正ビルド（LTSC 2024は16.0.17932.21140、LTSC 2021は16.0.14334.21048）が載っています。Microsoft 365 Appsについては、MSRCはこのリリースノートを案内しているだけなので、チャネルごとのビルドはリリースノートから採っています
- ✓メッセージファイル（.msgなど）やOfficeファイルは、更新が済むまで、むやみに開かない。Microsoftが書いている攻撃の経路が、まさにこれです。心当たりのない添付ファイルは特に開かないでください。知っている相手からでも、予告なく届いたものは、別の連絡手段で送り主に確認してください（当サイトの補足）
- ✓会社のパソコンを管理しているなら、11月の更新が全員に配られているか、Outlookの再起動が済んでいるかを確認する。Microsoftは、更新が必要なOfficeアプリが使用中だと更新を適用できず、あとの実行に持ち越される、と説明しています。Outlookなどを閉じて更新を終わらせ、ビルドを確認してください
- ✓添付ファイルを開いた覚えがあって、不安なら、社内のIT担当者や、会社の情報システム窓口に相談する。当サイトの補足ですが、ログイン用の値が漏れた可能性があるので、パスワードを変えるかどうかは、管理者の指示に従ってください（Microsoftの情報には、パスワード変更の案内は載っていません）
確認できなかったこと
- ▸攻撃の規模・攻撃者。Microsoftは「悪用を検知」とだけ書いていて、件数や攻撃者の情報は、確認できた資料にありませんでした
- ▸Mac版Outlook、新しいOutlook（Windows）、Outlook on the web、Office 2019以前。Microsoftが対象として挙げた6製品には入っていませんが、「影響を受けない」と書かれているわけでもありません。この記事では、これらを確認していません
- ▸Microsoftが推奨する、更新以外の緩和策。確認できた範囲のMSRCの情報には、載っていませんでした
- ▸Microsoft 365 Appsの月次チャネルごとに、修正が入った最初のビルド。上のビルドは、11月10日の更新の欄に載っているものです。それより前のビルドに修正が入っているかは、確認していません
- ▸日本国内の被害。この記事では示せません
- ▸NISTによるスコア。11月13日の取得時点のNVDにあったのは、Microsoftの6.5だけでした
共有するならこの3行
- ▸Microsoft OutlookのCVE-2026-124194が、11月10日にCISAの「悪用確認」カタログ（KEV）に追加された。Microsoftも「悪用を検知」としている
- ▸★Officeを更新（「ファイル」→「アカウント」→「更新オプション」→「今すぐ更新」）して、Outlookを再起動する。修正は11月10日のOffice更新に入っている
- ▸身に覚えのないメッセージファイルやOfficeファイルは開かない。開くと、ログイン用の値が相手に渡る恐れがある（プレビューは対象外）