Outlookにプレビューだけで刺さるRCEが複数 10月更新で修正

Microsoftの2026年10月の更新で、Officeの、とくにOutlookのリモートコード実行(RCE)の脆弱性が、多数修正されました。なかでも警戒したいのは、メールを「プレビュー表示するだけ」で悪用されうるものです。開封もクリックも要りません。この記事は、MicrosoftのMSRCの情報と報道をもとに、情シスの目線でまとめます。

プレビューだけで発火する、という意味

通常、Officeのファイルを悪用する攻撃は、細工した文書を送り、相手に開かせる必要があります。ところが、今回のOutlookのRCEのいくつかは、メールの一覧で内容を表示する「プレビュー(Reading Pane / Preview Pane)」だけで、発火しうるとされています。

MSRCの情報で確認できる例は、次のとおりです。

MSRCは、CVE-2026-70242について「プレビューでメッセージを表示するだけで発火し得る。開いたりクリックしたりする必要はない」と明記しています。報道では、こうしたプレビューで狙えるOutlookのRCEは、合わせて5件とされています(すべてCVSS 9.8)。

全体像のなかの位置づけ

報道によると、2026年10月の更新で修正された、深刻度の高いOfficeのRCEは、約2ダース(24件前後)とされています。その大半はWordですが、今回とくに危険なのは、無操作で発火しうるOutlookの一群です。現時点で、これらの実際の攻撃での悪用は確認されていないとされています。

10月の更新全体の優先度は、Microsoftが10月のセキュリティ更新、悪用確認で適用優先度を見直しにまとめています。

影響する会社・しない会社

• 影響する: Outlookを使っているすべての会社です。プレビューで発火しうるため、影響は大きいと考えられます。
• 影響する: Mac版のOffice(LTSC 2021/2024、365 for Mac)を使っている会社も、対象に含まれるものがあります。
• 影響しない(可能性が高い): 2026年10月の更新を、Officeのすべての系統で適用済みの環境。ただし、全端末に行き渡っているかは、確かめないと分かりません。

情シスが今日やること

• Officeの更新を、両系統で確かめる。Microsoft 365の「クイック実行」版と、ボリュームライセンスの「MSI」版の両方で、10月の更新が当たっているかを確かめます。Mac版のOfficeも対象です。
• プレビューの扱いを検討する。すぐに更新できない端末がある場合、暫定的に、プレビュー表示の無効化を検討する余地があります(今回Microsoftが明示的に推奨したかは未確認です)。
• 優先して当てる。悪用は確認されていませんが、無操作で発火しうるCVSS 9.8のRCEです。悪用が出回る前に、優先して適用します。