Outlookが.msix添付を2026年11月から既定でブロック、情シスの対応

Microsoftは、Microsoft 365のメッセージセンターで、Outlook on the webと新しいOutlook for Windowsが、.msixと.msixbundleの添付を初期設定でブロックすると通知しました(MC1488841、2026年10月5日公開)。展開は2026年11月上旬に始まり、11月中旬までに終わる見込みです。

社内でアプリのインストール用ファイルをメールで配っている会社は、11月までに配り方を見直すか、許可の設定を入れるかを決める必要があります。使っていなければ、通知は対応不要と書いています。

この記事の内容は、2026年10月9日に、メッセージセンターの公開アーカイブとMicrosoft Learnで確かめたものです。

MC1488841に書かれていること

通知の内容を、項目ごとに整理します。

通知は、これらの形式はあまり使われないため、ほとんどの組織は影響を受けない見込みだと書いています。また、安全でない可能性のある添付ファイルから組織を守る、継続的な取り組みの一部だとしています。

ユーザーへの影響は、次のように書かれています。

Users who send or receive .msix or .msixbundle attachments in Outlook on the web or new Outlook for Windows will no longer be able to open or download them.

日本語にすると、Outlook on the webか新しいOutlook for Windowsで.msixや.msixbundleの添付を送受信するユーザーは、それらを開くことも、ダウンロードすることもできなくなる、という意味です。通知は、この文のほかに、送信の側がどう扱われるかを細かく書いていません。

通知のコンプライアンスの欄には、「特に確認すべき事項はない」と書かれています。公開日の時点で、日本での提供の違いも書かれていません。対象の地域は、全世界とGCC、GCC High、DoDです。

.msixと.msixbundleとは何か

MSIXは、Windowsのアプリを包むパッケージ形式です。Microsoft Learnは、MSIXを「Windowsアプリのための現代的なパッケージ形式」で、きれいなインストールとアンインストール、自動更新を使えるようにするものと説明しています。IntuneやConfiguration Managerでの配布にも対応しています。

.msixbundleは、複数のMSIXをまとめた形式です。今回の通知は、この2つの拡張子をまとめて対象にしています。

つまり、業務アプリのインストーラーを、MSIXにしてメールに添付して配る運用が、今回の影響を受けます。Windows Appのように、Store以外の配布用にMSIXのダウンロードを用意している製品もあります。そのリンクをメールで社内に回している場合も、添付ではなくリンクなら、この変更の対象外です。リンクの扱いは通知に書かれていないため、ここは当サイトの整理です。

関連する記事: Windows AppでPCへのリモート接続が正式提供、mstscとの関係と確認点にも、msix形式のダウンロードリンクの話があります。

Outlookの既定のブロックの仕組み

Outlook on the webには、添付ファイルの扱いを決める設定があります。OwaMailboxPolicyの、次の2つのプロパティです。Learnには、次のように書かれています。

BlockedFileTypesの既定値には、.exe、.msi、.appx、.iso、.ps1などがすでに並んでいます。2026年10月9日に確認したLearnの既定値の一覧には、.msixと.msixbundleは載っていません。同じAppx系の.appxは載っています。今回の変更で、この一覧が増えます。

Learnは、複数の一覧に同じ種類を書いたときの優先順位も説明しています。ただし、2つの説明が、同じページの中で食い違っています。

• AllowedFileTypesの説明は、「ブロックの一覧が許可の一覧に優先する」と書いています。
• BlockedFileTypesの説明は、「許可の一覧がブロックの一覧に優先する」と書いています。

通知は、許可したい場合にAllowedFileTypesへ追加することを勧めています。設定を入れたあとは、実際に.msixの添付で確かめてください。

許可する場合のコマンド例

Learnの書式に沿った例です。Exchange Onlineの既定のポリシー名は、Learnによると OwaMailboxPolicy-Default です。

まず、いまのポリシーの内容を見ます。Get-OwaMailboxPolicyは、Outlook on the webのメールボックスポリシーを表示するコマンドです。

Get-OwaMailboxPolicy
Get-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default | Format-List

許可の一覧に、既存の値を残したまま加えるときは、Learnが説明する Add の書式を使います。

Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -AllowedFileTypes @{Add=".msix",".msixbundle"}

この例は、Learnの「既存の値に影響せずに値を追加するときは @{Add="値1","値2"...} の書式」という説明に沿って、当サイトが組み立てたものです。Learn自身に、.msixを使った例が載っているわけではありません。

通知は、「すべてのOWAメールボックスポリシー」に追加されると書いています。カスタムポリシーを作っている会社は、そのポリシーごとに許可が必要かを確かめます。

Learnには、Outlook on the webのメールボックスポリシーの変更が、反映まで最大60分かかることがあるとも書かれています。

許可した場合、攻撃に使われやすい種類の添付を通すことになります。通知が今回の変更の理由に挙げているのは、セキュリティを高めることです。許可するなら、送る人と受け取る人を限る、別の配布手段に切り替える、という検討を並べて考えてください。

クラシックOutlookはどうなるか

通知に書かれている対象のクライアントは、Outlook for the webと新しいOutlook for Windowsです。クラシックのOutlook(従来のデスクトップ版)については、通知に記載はありません。このため、クラシックのOutlookで.msixの添付がどうなるかは、この記事では判断できません。

通知のリンク先には、Microsoft Supportの「Blocked attachments in Outlook」があります。クラシックのOutlookの扱いを確かめるときは、そのページを見ます。

影響する会社・しない会社

• 影響する: 業務アプリや社内ツールを、.msixか.msixbundleのファイルでメールに添付して社内に配っている会社。Outlook on the webか新しいOutlook for Windowsで受け取る人は、開くこともダウンロードもできなくなります。
• 影響する: 取引先や開発会社から、.msixの添付で納品物や検証用のアプリを受け取っている会社。受け取る側のOutlookが対象のクライアントなら、同じく止まります。
• 影響する: OwaMailboxPolicyをカスタムして使い、ポリシーごとに許可の一覧を管理している会社。カスタムポリシーにも、追加が入ると書かれています。
• 影響しない: .msixも.msixbundleもメールで扱っていない会社。通知は、対応不要と書いています。
• 影響しない: MSIXをIntuneやConfiguration Managerなど、メール以外の手段で配っている会社。添付が通る通らないとは別の話です。
• 通知に記載がない: クラシックのOutlookだけを使っている会社。通知は、対象のクライアントとして書いていません。

情シスが今日やること

1. .msixと.msixbundleをメールで扱っているか、社内に聞きます。 業務アプリを配っている部署と、開発や検証で外部とやり取りしている人に、2026年11月上旬より前に答えをもらいます。聞くときは、Outlook on the webと新しいOutlook for Windowsのどちらで受け取っているかも一緒に聞きます。
2. 使っていなければ、何もせず、利用者への注意だけ出します。 「11月から、.msixの添付は開けなくなります」と、知らせておきます。取引先から送られてくる場合があるため、窓口の担当者にも伝えます。
3. 使っている場合は、配り方を見直すか、許可を入れるかを決めます。 メール添付をやめて、IntuneやConfiguration Managerなどの配布に切り替えるか、AllowedFileTypesへ追加するかを決めます。許可するなら、理由と対象のポリシーを記録に残します。
4. 許可を入れるなら、展開の前、10月中に設定します。 Exchange Onlineの管理者の権限で、Get-OwaMailboxPolicyで現状を見て、Add の書式で追加します。上書きの書式を使わないでください。反映に最大60分かかるため、設定後に、実際の添付で開けるかを確かめます。
5. 展開が終わる11月中旬以降に、もう一度確認します。 追加が入った結果、BlockedFileTypesに.msixが入ったか、許可が効いているかを、ポリシーごとに見ます。Microsoft 365のメッセージセンターの続報も確認します。

Exchange Onlineの管理は、ほかの変更にも同じ見方で対応できます。メールボックスの容量まわりの変更は、Microsoft 365のアーカイブ容量が1.5TB超へ、対象E5と管理者の準備にまとめています。