JVN iPediaは2026年10月15日、MicrosoftのOutlook Web (Outlook.com)等の複数製品に関わる脆弱性「CVE-2026-96951」を掲載しました。ネットワーク経由でセキュリティ機能を回避される恐れがあり、WindowsとWindows Serverも影響対象です。情シスはOutlookの利用状況だけで判断せず、端末とサーバーのバージョン、ビルド番号を照合する必要があります。
特権は不要、ただし利用者の関与が必要
JVNによると、原因はWindowsシェルで特殊な要素を適切に無効化できないことです。脆弱性の分類は、命令の処理に不正に介入するコマンドインジェクション(CWE-77)です。Microsoftのベンダ情報では、Windowsシェルのセキュリティ機能回避の脆弱性とされています。
深刻さを示すCVSS v3基本値は8.8で、深刻度は「重要」です。JVNの評価では、攻撃条件の複雑さは低く、攻撃者に特権は不要です。一方、攻撃の成立には利用者の関与が必要とされています。利用者が関わらなくても攻撃が成立するものとして扱わないよう、条件を分けて把握してください。
想定される影響は、当該ソフトウェアが扱う全情報の漏えい・改ざんと、ソフトウェアの完全な停止です。これは脆弱性が悪用された場合の影響であり、今回の掲載を情報漏えいや停止が実際に発生したという意味で受け取らないことが大切です。
Windowsは名称だけでなくビルド番号を照合
JVNが示したWindowsの影響条件は、次の各ビルド未満です。同じWindows 11でも、バージョンごとに比較する番号が異なります。
- Microsoft Windows 10：1607は10.0.14393.9612未満、1809は10.0.17763.9376未満、21h2は10.0.19044.7807未満、22h2は10.0.19045.7807未満。
- Microsoft Windows 11：23h2は10.0.22631.7652未満、24h2は10.0.26100.9711未満、25h2は10.0.26200.9711未満、26h1は10.0.28000.3231未満、26H2は10.0.26300.9711未満。
サーバーでは、Microsoft Windows Server 2012 r2も影響対象です。ほかに、Microsoft Windows Server 2016は10.0.14393.9612未満、2019は10.0.17763.9376未満、2022は10.0.20348.5761未満、2025は10.0.26100.33650未満が挙げられています。
この一覧は影響する条件です。更新方法や適用すべき更新プログラムは、番号だけから決めず、ベンダ情報で確認してください。JVNもベンダ情報を確認し、適切な対策を実施するよう案内しています。
影響する会社・しない会社
- 影響する: 上記の「未満」に該当するWindows端末やWindows Serverを運用する会社です。端末だけでなく、サーバーの管理担当者にも確認を依頼する対象になります。
- 影響する: Outlook Web (Outlook.com)を利用する会社です。ただし、取材資料には具体的な影響条件や利用者側の対処方法が示されていないため、Windowsの条件とは分けて確認が必要です。
- 影響しない: 対応するバージョンのビルド番号が上記の境界値以上なら、その「未満」という条件には該当しません。ただし、それだけで他の対象製品も含めて影響がないとは判断できません。
- 影響しない: 会社全体を対象外と判断できる包括的な条件は、発表には書かれていません。Windows Server 2012 r2についても、今回の資料にはビルド番号による境界がありません。
情シスが今日やること
- 本日中に、IT資産台帳や端末・サーバー管理に使う画面で、製品名、バージョン、ビルド番号を確認してください。番号が未記録の機器は、管理担当者に確認を依頼し、対象外ではなく「未確認」として残します。
- 台帳の情報を上記の条件と照合し、「対象」「未確認」「記載されたビルド条件には該当しない」に分けます。Windows Server 2012 r2とOutlook Webは、数値比較できる対象と分けて一覧にしてください。
- 対策の実施前に、JVNが案内するMicrosoftのベンダ情報を確認します。対象製品ごとの対策を整理し、端末管理担当者とサーバー運用担当者に、対象一覧と対応依頼を渡してください。
- 本日中に、対象機器の担当者、対応予定日、未確認事項を一覧に記録します。利用部門には、脆弱性の掲載と実際の被害発生を区別して伝えてください。対策後は再びバージョンとビルド番号を確認し、実施内容を記録する運用にします。
ここで示した「本日中」は、確認を進めるための提案です。資料にベンダ指定の対応期限は示されていません。
