Microsoft Outlook ― NTLMハッシュを漏らすゼロデイが悪用され修正

要点

Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024のOutlook（クラシック版）（MSRC CVE-2026-124194、報道各社）。

何が起きているか

事実（Microsoft、CISA）

Microsoftは2026年11月10日（米国時間）の月例セキュリティ更新で、Outlookのなりすまし脆弱性CVE-2026-124194を修正し、悪用を確認したとした。今月の更新で悪用が確認された脆弱性はこの1件で、事前の公開（ゼロデイの開示）はなかった（BleepingComputer、SecurityWeek）。
Microsoftの説明では、認証されていない攻撃者が細工したメッセージファイルを送り、利用者にOutlookで開かせると、Outlookが通常の外部コンテンツの警告を出さずに攻撃者の管理するネットワーク上の場所へ接続する。その結果、利用者のNTLMv2ハッシュが攻撃者に渡り、利用者になりすまして認証に使われるおそれがある。プレビューウィンドウは攻撃経路にならない（SecurityWeek、BleepingComputerが引用するMicrosoftの説明）。
弱点の分類はCWE-356（危険な操作の前に利用者へ警告しない）。Microsoftの深刻度は「警告」（Moderate）、CVSS 3.1の基本値は6.5（SecurityWeek、Ivanti）。
CISAは11月10日、この脆弱性をKEVに追加した。米連邦機関の対応期限は11月24日（CISA 11月10日の追加告知）。
攻撃者、標的、侵害の痕跡（IoC）はMicrosoftから公表されていない（SecurityWeek、SecurityOnline）。

製品	修正版（報道による）
Microsoft 365 Apps for Enterprise	2026年11月のセキュリティ更新が入った版（更新チャネルごとに確認）
Office LTSC 2021	16.0.14334.21048以降
Office LTSC 2024	16.0.17932.21140以降

ビルド番号はSecurityOnlineの記事によるもので、正確な値はMSRCの更新ガイドで確認してほしい。

修正：2026年11月のOfficeセキュリティ更新を適用する（Office のセキュリティ更新一覧）。
Microsoftは回避策を示していない。被害を小さくする手段として、Rapid7は、漏れたNTLMv2ハッシュの中継（リレー）を防ぐため、SMBやLDAPの署名、ExchangeやAD証明書サービスの拡張保護（EPA）を有効にしておくことを挙げている（Rapid7）。

Outlookが動いている全端末に11月のOffice更新を適用し、Microsoft 365 Appsは更新チャネルが今回の修正を取り込んだかを確認する。
社外宛てのSMB（TCP 445）通信をファイアウォールで止める。
SMB署名・LDAP署名・EPAが有効になっているかを確認し、漏れたハッシュを中継されても使われにくい状態にしておく。
添付のメッセージファイルを開くよう促す不審なメールについて利用者に注意を呼びかけ、11月10日以前にそうしたファイルを開いた報告があれば、該当アカウントのパスワードを変更する。

点数より実害で判断したい: CVSSは6.5と中程度だが、メールで広くばらまけて、開けばすぐ認証情報が漏れる。過去にも同種のNTLMハッシュ漏えいはフィッシングで繰り返し使われており、今回も優先度を上げて扱うべきだと考える。
プレビューで発動しないのは救い: ファイルを開く操作が必要なので、利用者への注意喚起がある程度効く。ただし「開かせる」ための文面づくりは攻撃者が得意とするところで、更新が終わるまでの時間稼ぎと考えたい。
NTLMそのものを減らす機会: 漏れたハッシュが使えるのはNTLM認証が残っているからだ。外向きSMBの遮断や署名の強制は、今回に限らず同種の脆弱性すべてに効くので、この機会に進めたい。