Microsoft 365 AppsにCVE-2026-124194——悪用確認、修正版への更新を

公開日：2026年11月11日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-124194 とは——Microsoft 365 Apps の Outlook に確認されたなりすまし脆弱性

2026年11月10日、Microsoftは Microsoft 365 Apps for Enterprise および関連 Office 製品に存在するなりすまし（スプーフィング）脆弱性 CVE-2026-124194 を公開した。CVE説明文によると、対象製品は Microsoft Office Outlook である（出典：CVE.org, CVE-2026-124194）。CISAは本脆弱性を2026年11月10日にKnown Exploited Vulnerabilities（KEV）カタログに追加した（出典：CISA KEV カタログ）。KEV掲載は「実際に悪用が確認された」ことを意味する。ただし、自社が影響を受けるとは限らない。

製品のUIが安全でない操作についてユーザーに警告しない（CWE-356: Product UI does not Warn User of Unsafe Actions）という設計上の弱点を突いた脆弱性であり、認証されていない攻撃者がネットワーク経由でスプーフィングを実行できる。CVSSスコアは 6.5（MEDIUM）（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N/E:H/RL:O/RC:C、評価者: microsoft）（出典：Microsoft MSRC, CVE-2026-124194）。

影響を受けるバージョン——どの製品・版が対象か

CVE公式記録（cve.org）が示す影響を受けるバージョンは以下の3製品系統である。

製品	対象アーキテクチャ	影響を受けるバージョン範囲
Microsoft 365 Apps for Enterprise	32-bit / x64	16.0.1 以上〜 aka.ms/OfficeSecurityReleases に示された修正版未満
Microsoft Office LTSC 2021	32-bit / x64	16.0.1 以上〜 16.0.14334.21048 未満
Microsoft Office LTSC 2024	32-bit / x64	16.0.0 以上〜 16.0.17932.21140 未満

Microsoft 365 Apps for Enterprise は継続的な更新モデルのため、修正版の具体的なビルド番号は Microsoft Office セキュリティリリースページで確認する。

この脆弱性が日本の企業にとって何を意味するか

CISA KEVには2026年11月10日に追加されており、悪用が確認されている（出典：CISA KEV カタログ）。ただし、自社の環境が直接影響を受けているとは限らない。

今すぐ取るべき3つの対処

現時点でとるべき対処は次の3点に絞られる。

1. 影響を受けるバージョンを使用している場合、ベンダー告知の修正版へ更新する。
修正版のビルド番号は aka.ms/OfficeSecurityReleases で確認する。

2. 更新の優先順位を上げる。
CISAはKEV掲載脆弱性について、米連邦機関に対して2026年11月24日を対処期限と定めた（出典：CISA KEV カタログ）。この期限は米国連邦政府機関向けの義務であり、日本企業に法的拘束力はない。CISAが求める対処は「ベンダーの指示に従ったミティゲーションの適用、またはミティゲーションが利用不可の場合は製品の使用停止」（BOD 26-04 準拠）である。

3. ベンダー告知に従う。公式の回避策は現時点ではCVE説明文に記載がない。
CVE公式記録の説明文には修正版への更新以外の具体的な公式回避策の記載がなかった。MSRCページ（MSRC: CVE-2026-124194）ではJavaScriptが必要なため内容を機械的に取得できなかった。最新の回避策情報はMSRCページを直接確認することを推奨する。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。