Microsoftの11月更新 悪用は「警告」のOutlookだけ

今月いちばん先に配るべきは、Windowsではなく、Outlookの更新です。Microsoftが11月10日（米国時間）に公開した月例のセキュリティ更新で、悪用が確認された脆弱性は、Outlookのなりすましの脆弱性CVE-2026-124194の1件だけでした。

ただ、この1件の深刻度は「警告」です。公開日に載ったMicrosoft採番の1,093件で、「警告」はこれしかありません。CVEを深刻度で絞り込んで見ていると、一覧の最後に回る1件です。もっとも、同じOfficeの11月の更新には「緊急」が22件入っていて、うち3件はプレビューウィンドウからも攻撃できるOutlookのリモートコード実行です。Officeの更新を後回しにしてよい月ではありません。

CVEの一覧では最後に来る1件

Microsoftの説明では、攻撃者は細工したメッセージのファイルを送り、相手に開かせます。開いたOutlookは、ふだん出る外部のコンテンツの警告を出さないまま、攻撃者が用意した場所へ接続します。ここで利用者のNTLMv2のハッシュが渡り、攻撃者はこれを使って、その利用者として認証できるといいます。

プレビューウィンドウは攻撃の入口ではありません。CVSSの基本値も6.5で、数字だけなら後回しにしたくなる値です。それでもMicrosoftは、悪用の状況を「Exploitation Detected」としました。どこで、どれだけ使われたのかは、公開された情報に書かれていません。

対象の製品は、Microsoft 365 Apps for Enterprise、Office LTSC 2024、Office LTSC 2021の3つです。修正を含むビルドは、チャネルと版ごとに番号が違います。

PCに付いてきたOffice 2021と2024（Retail）は、Current Channelと同じ20527.20196です。CVE-2026-124194の攻撃の条件とCVSSの内訳は、SecPulseのページで読めます。

パスワードそのものではなく、ハッシュが外へ出る型です。更新の前に開かれたPCがあっても、利用者が気づくことはまずないでしょう。米CISAは同じ10日にこの脆弱性をKEVへ加え、連邦機関向けの期限を14日後の11月24日に置きました。日本の会社に守る義務はありません。とはいえ入口はメールの添付ですから、社内の期限は2週間より短く置くのが妥当でしょう。

同じ月のWindowsの更新には、匿名でない接続で、クライアントが既定でNTLMの署名を申し出る変更も入りました。Microsoftは、NTLMのリレー攻撃を受けにくくするためと説明していますが、今回のOutlookの穴はOfficeの更新でしかふさがりません。Windowsの更新だけ当てても、この1件は残ります。

10月と比べて変わったこと

*11月11日朝のMSRCのCVRFで、各月の公開日に載り、Microsoftが採番した番号の数。10月は、CVEではない勧告ADV260001の1件を含む。「悪用の可能性が高い」は最新版での評価。

番号は2割ほど減りました。それでも、楽な月とは言えないでしょう。狙われた場所が、Windowsのシェルから、毎日メールを開くOutlookへ移ったからです。WSUSやWindows Update for Businessの配布の画面だけを見ていると、Officeのビルドの進み具合は目に入りません。

CVRFからは、もう一つ分かることがあります。11月に公開された番号のうち57件は、Windowsの修正の欄に、10月の更新プログラム（24H2、25H2、26H2ならKB5127648）だけが載っていました。中心はグラフィックス処理のAdvanced Rasterization Platformと、Windows Installerの権限昇格。10月の更新を当てたPCでは、すでにふさがっている分です。

USBオーディオの問題は、Microsoftのリリース正常性のページで、11月10日に「解決済み」へ変わりました。会議室の音声機器がある端末で、先に検証が要った件です。経緯は10月の更新の記事で読めます。

当てるKBと、社内への案内を変える3つの点

11月の更新には、社内への案内を変えたい点が3つあります。

まず、署名したPowerShellのスクリプトです。文字コードの検査が厳しくなり、正しくないUTF-8を含むスクリプトは、これまで通っていても署名の検証に失敗することがあります。Microsoftが示す直し方は、BOM付きのUTF-8で保存し直し、署名し直すこと。Windows 11のほか、Windows 10とServer 2016〜2025のKBにも同じ変更が入っています。実行ポリシーをAllSignedにしてログオンスクリプトを配っている会社ほど、影響が出やすいはずです。

次に、Hotpatchの端末です。表のKBの代わりにHotpatchの更新を受ける端末には、そのあとでPowerShellだけのセキュリティ更新（Windows 11はKB5135385、Server 2025はKB5135386）が届きます。PowerShellのファイルが使用中なら、再起動が要ることがあります。Hotpatchの月にPowerShellだけの更新が届くのは、2025年の5月、9月、12月に続いて4回目です。「Hotpatchの月は再起動なし」と社内に伝えているなら、「再起動が要る月もある」に改めておくと、次の回も慌てずに済みます。12月の後半は、非セキュリティのプレビュー更新もありません。

最後は、10月の更新で起きた不具合の修正です。Active Directoryに公開したプリンターを設定の画面から追加すると、エラー87が出ていました。ヘルプデスクで回避策を案内していたなら、その案内を外せます。

サーバーは、ドメインコントローラーとExchange SEが先

Windows Serverの「緊急」には、Active Directory Domain Services（AD DS）の脆弱性が入っています。CVE-2026-118146は、低い権限で認証した攻撃者が、ネットワーク越しにサーバーでコードを実行できるもので、Microsoftの評価は「悪用の可能性が高い」。同じAD DSには、SYSTEM権限を取られる権限昇格のCVE-2026-118148もあります。社員のアカウントを1つ乗っ取られれば足りる条件なので、ドメインコントローラーは今週のうちに当てたい対象です。

Exchange Serverの対象は、Subscription Edition（SE）だけです。11月のSU12が9件を修正しました。リモートでコードを実行される2件のうち1件は「緊急」で、こちらも悪用の可能性が高いとされています。

Exchangeのサーバーには、Windows Serverの11月の累積更新も一緒に当てます。OWAにサインインできない、送信トレイにメールが残る、といった症状について、Microsoftは11月10日以降のWindowsの更新で解決したとしているためです。それまでの経緯はExchangeの不調の記事で読めます。

うちの会社で対象になるPCとサーバー

WindowsのOutlookを、Microsoft 365 AppsかOffice LTSC 2021、2024で使っている会社は、悪用の1件の対象です。悪用の1件の対象の一覧に、Mac版のOfficeとOutlook on the webは載っていません。

Windows 11 23H2のEnterpriseとEducationには、今月のKB5131087が最後の更新になりました。来月からは、今回のような悪用の修正も届きません。Microsoftは11月10日の告知で、移行先に26H2を挙げています。10月の23H2の記事の時点では、勧める移行先は25H2でした。ただ、26H2の新機能のページによると、小さな有効化パッケージで26H2へ移れるのは25H2と24H2の端末です。23H2からは、もっと大きな更新になると見込んでおくほうが安全でしょう。

Officeのビルドから始める確認の手順

1. まずOfficeのビルドを、上の表の番号と突き合わせます。更新を止めたPCや、しばらく電源を入れていないPCが残りやすいところです。
2. ドメインコントローラーとExchange SEは、今週のうちに保守の時間を取ります。ExchangeはWindows Serverの累積更新とSU12を当て、Exchange Server Health Checkerで結果を確かめます。
3. PCへ広げる前に、署名つきのPowerShellのスクリプトを検証用のPCで実行します。失敗したものは、BOM付きのUTF-8で保存して署名し直します。
4. Hotpatchを使っていれば、KB5135385で再起動が要ることがあると、ヘルプデスクに伝えておきます。
5. 23H2のEnterpriseとEducationの台数を数え、26H2へ上げる日を決めます。有効化パッケージは使えないので、OSを入れ替えるのに近い時間と再起動の回数を見込み、検証機で一度測っておきます。

深刻度は、被害が大きくなりうるかの目安で、いま狙われているかの目安ではありません。今月の悪用の1件は、緊急の22件と同じOfficeの更新でふさがります。見るべきは深刻度の列より、Officeのビルドの列です。