Microsoft 2026年11月の月例更新：Outlookの悪用済みCVE-2026-124194と修正版の確認方法

2026年11月のMicrosoft月例更新では、すでに攻撃に使われていたOutlookの脆弱性CVE-2026-124194が修正されました。細工したファイルを開かせることで、利用者のNTLMv2ハッシュが攻撃者の手に渡るおそれがあります。今月は10月と違い、Windowsの累積更新を当てただけでは塞がりません。Outlookを含むOffice側の更新が要ります。この記事では、今月の件数と内訳、仕組み、更新チャネルごとの修正ビルド、PowerShellでの判定スクリプト、更新までの暫定対策を順に示します。記載の基準は2026年11月11日時点の公開情報です。

まとめ：11月はOutlookの悪用済み1件をOffice更新とビルド照合で塞ぐ

最初にやることは、OutlookをMicrosoft 365 AppsやOffice LTSCの11月の修正ビルドへ上げることです。Current Channelならバージョン2610のビルド20527.20196、Office LTSC 2024なら17932.21140以上が修正済みになります。

Windows Updateの完了画面だけでは、Officeの更新状況は分かりません。Click-to-Run版はレジストリの版数を修正ビルドと比べて確かめます。米国のCISAは11月10日付で悪用中の脆弱性の一覧（KEV）に加え、連邦機関に24日までの対応を求めています。Windows側の11月の累積更新も並行して進めてください。

2026年11月の月例更新で修正された件数と悪用確認済み1件の位置づけ

月例更新の日程や、ゼロデイの優先順位の付け方はPatch Tuesdayの日程とMicrosoftゼロデイへの対応順にまとめています。ここでは11月分の中身を数字で押さえます。

CVRFの1,342件のうちMicrosoft採番1,095件と緊急64件の内訳

MSRCが配信する11月分の機械可読データ（CVRF 2026-Nov）には、1,342件のCVEが収録されています。ただしこの中にはChromium由来の165件やLinux由来の41件など、Microsoft以外の採番機関（CNA）が付けたCVEも含まれます。Microsoft自身が採番したものに絞ると1,095件です。報道で見かける件数が媒体ごとに少しずつ違うのは、この数え方の差によるものです。

深刻度の内訳は「緊急」64件、「重要」1,029件、「警告」2件でした。緊急のうち、悪用の可能性が高いと評価されたものにはExchange Server、Active Directoryドメインサービス、Windows Schannelの脆弱性が含まれます。いずれも11月11日時点の集計で、MSRCが後から情報を改訂すると数字が動く点に注意してください。

悪用確認済みはOutlookのなりすまし1件で事前公開の脆弱性は0件

MSRC日本語ブログの11月の案内は、更新の公開前に悪用を確認した脆弱性として、CVE-2026-124194「Microsoft Outlook のなりすましの脆弱性」の1件だけを挙げています。CVRFで確かめても、悪用確認済みはこの1件で、事前に一般公開されていた脆弱性はありませんでした。

前月の悪用確認済みはWindowsシェルの脆弱性で、Windowsの累積更新で修正されました（2026年10月の月例更新とCVE-2026-96951の確認手順）。今月は修正の入る場所がOfficeに移っています。Windowsの更新管理とOfficeの更新管理を別の担当や別のツールで回している組織では、この違いが抜けやすい点です。

CVE-2026-124194のNTLMv2ハッシュ漏えいの仕組みとCVSS 6.5の評価

深刻度の表示だけを見ると後回しにしがちな脆弱性です。仕組みと評価の中身を分けて確かめます。

細工したメッセージファイルを開くと警告なしで外部へ接続する攻撃の流れ

MSRCのCVE-2026-124194のページのFAQによれば、攻撃者は細工したメッセージファイルを送り、影響を受けるOutlookで開くよう利用者を誘導します。ファイルを開くと、Outlookは本来出すはずの外部コンテンツの警告を出さないまま、攻撃者が用意したネットワーク上の場所へ接続する動作です。その際に利用者のNTLMv2ハッシュが攻撃者へ渡り、攻撃者はそれを使って利用者として認証を受けるおそれがあります。

弱点の分類はCWE-356（安全でない操作を利用者に警告しないUI）です。プレビューウィンドウは攻撃の経路にならないとMSRCは明記しています。開封という利用者の操作が必要で、受信しただけ、一覧で選んだだけでは成立しません。なお、接続に使われるプロトコルはMSRCのページでは明かされていません。

深刻度「警告」でもKEV入りした理由と11月24日の是正期限

MSRCの深刻度は「警告」、CVSS 3.1の基本値は6.5です。ベクトルは AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N で、機密性への影響だけが「高」になっています。漏れるのはハッシュという認証情報なので、改ざんや停止の評価は付きません。一方、悪用コードの成熟度を示す値は E:H で、実際の攻撃が確認された状態を指しています。

CISAのKEVカタログ（2026.11.10版）は本件を11月10日に追加し、是正期限を11月24日としました。ランサムウェアでの使用は「Unknown」、フォレンジックの初動調査を求める項目は「No」です。NVDの登録も同日のうちに分析済み（Analyzed）となっています。CVSSの点数は攻撃の結果の大きさを表す尺度で、すでに攻撃に使われているかどうかは含みません。点数が中程度でも、悪用中なら先に当てる。KEVの期限の考え方はBOD 26-04のKEV是正期限の仕組みで解説しています。

Outlookの修正ビルドとWindowsの11月KBをチャネル別とOS別に照合

MSRCのAPIで本件の影響製品を引くと、Microsoft 365 Apps for Enterprise（32ビット・64ビット）とOffice LTSC 2024・2021の計6件が返ります。Officeは更新チャネルごとにビルドが違うため、KB番号ではなくビルド番号で照合します。

Microsoft 365 AppsとOffice LTSCの更新チャネル別の修正ビルド

Microsoft 365 Appsのセキュリティ更新のリリースノートでは、11月10日付の修正ビルドが次のように示されています。Outlookの欄にCVE-2026-124194が含まれています。

表のチャネル名は「Channel」を省いて書いています。Semi-Annualは半期エンタープライズチャネルで、リリースノートでは月次エンタープライズのビルドを受け取る構成と注記されています。LTSCの2行はボリューム ライセンス版です。

Office 2024と2021の小売版は、Current Channelと同じ20527.20196で更新されます。日本語版のリリースノートには11月11日時点で11月分が反映されていなかったため、照合は英語版で行ってください。過去の版の配信日はMicrosoft 365 Appsの更新履歴で追えます。

影響製品の一覧に無いOffice 2019や新しいOutlookの扱い

リリースノートにはOffice 2019（ボリューム ライセンス）の11月のビルド10417.20236も載っていますが、MSRCが示す本件の影響製品にOffice 2019は入っていません。Office 2019と2016はサポートが終了した製品です。一覧に無いことは安全の証明ではなく、評価の対象から外れていると読むべきでしょう。残っている端末はLTSCかMicrosoft 365 Appsへの移行を急ぎます。

新しいOutlook for Windowsと、ブラウザーで使うOutlook on the webも影響製品の一覧にはありません。対象は従来版のデスクトップOutlookです。社内で新旧のOutlookが混在している場合は、従来版を使っている端末の台数から先に把握してください。

Windows 11・10とWindows Serverの11月累積更新KBと更新ビルド

本件とは別に、Windowsにも緊急の脆弱性が多数あります。MSRCのAPIとMSRC日本語ブログから、OSごとの11月の累積更新を整理すると次のとおりです。

ホットパッチを使う環境は、Windows 11がKB5132043（ビルド末尾.9911）、Windows Server 2025がKB5131077（26100.33730）です。Windows 10のKB5131096は拡張セキュリティ更新（ESU）に登録した端末向けです。Windows Server 2022のKB5131090には、キューバの夏時間規則の変更も入っています。

VersionToReportで修正済みかを判定するPowerShellと複数台の集計手順

Officeの版数は、Outlookの「ファイル」から「Officeアカウント」を開けば1台ずつ確かめられます。台数が多いときは、レジストリから読み取って判定します。

ClickToRunのレジストリから版数を読み修正ビルドと比べるスクリプト

Click-to-Run版の構成は HKLM\SOFTWARE\Microsoft\Office\ClickToRun\Configuration に入ります（更新チャネルの変更に関するMicrosoft Learnの解説にある、更新元の設定値と同じキーです）。このキーの VersionToReport に、16.0.20527.20150 のような現在の版数が入っています。次のスクリプトは、その版数を前の章の表と比べます。

# 11月の修正ビルド：ビルド番号（3つ目の数字）ごとに、修正済みとなる4つ目の数字の最小値
$fixed = @{
  20527 = 20192   # バージョン2610
  20430 = 20262   # バージョン2609
  20326 = 20318   # バージョン2608
  17932 = 21140   # Office LTSC 2024
  14334 = 21048   # Office LTSC 2021
}

$c2r = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue
if (-not $c2r.VersionToReport) { 'NO CLICK-TO-RUN'; return }

$v = [version]$c2r.VersionToReport
if ($fixed.ContainsKey($v.Build)) {
  if ($v.Revision -ge $fixed[$v.Build]) { "FIXED: $v" }
  else { "NOT FIXED: $v (required 16.0.$($v.Build).$($fixed[$v.Build]))" }
} elseif ($v.Build -gt 20527) {
  "NEWER BUILD: $v"
} else {
  "UNSUPPORTED BUILD: $v"
}

判定部分をWindows PowerShell 5.1で試すと、16.0.20527.20150 は NOT FIXED: 16.0.20527.20150 (required 16.0.20527.20192)、16.0.20527.20196 は FIXED を返しました。Office 2019の 16.0.10417.20236 は表に無いビルドなので UNSUPPORTED BUILD になります。サポート対象外の版を見つける用途にも使えます。

同じバージョン2610でも、チャネルによって修正ビルドの4つ目の数字が20192〜20196と違います。このスクリプトは最も小さい値で判定しているため、チャネルまで厳密に見る場合は CDNBaseUrl の値でチャネルを分けてください。「NEWER BUILD」は11月の表より新しいビルドで、Beta版などが当たります。その場合はリリースノートで個別に確かめます。

Invoke-Commandで全端末のOffice版数を集めCSVに残す手順

WinRMが有効なドメイン環境なら、版数だけを全台から集めて一覧で比べるほうが速く済みます。

$targets = Get-Content .\pcs.txt
Invoke-Command -ComputerName $targets -ScriptBlock {
  $c2r = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration' -ErrorAction SilentlyContinue
  $cv  = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
  [pscustomobject]@{
    Office  = $c2r.VersionToReport
    Channel = $c2r.CDNBaseUrl
    OsBuild = "{0}.{1}" -f $cv.CurrentBuild, $cv.UBR
  }
} -ErrorAction SilentlyContinue |
  Select-Object PSComputerName, Office, Channel, OsBuild |
  Export-Csv .\office_build_2026-11.csv -NoTypeInformation -Encoding UTF8

OsBuildの列も一緒に集めているので、前の章のWindowsの表とも同じCSVで照合できます。Officeの列が空の端末は、Click-to-Run版が入っていないか、MSI版のOfficeが残っている可能性があります。接続できなかった端末はCSVに出てこないため、対象一覧と突き合わせて漏れを拾ってください。

スクリプトに署名して配布している組織は、KB5132061の変更点に注意が要ります。11月の更新から、PowerShellスクリプトの署名検証で文字コードの確認が厳しくなりました。日本語のコメントを含むスクリプトは、BOM付きUTF-8で保存し直してから署名し直します。

更新が行き渡るまでのNTLM漏えい対策と11月の累積更新の変更点

MSRCは本件に回避策や緩和策を示していません。漏れるのがNTLMv2ハッシュである点に着目して、漏れても使われにくくする手を併せて打ちます。

Protected Usersと送信NTLMの制限で漏れたハッシュの使い道を狭める

Active Directory環境では、管理者など権限の高いアカウントをProtected Usersセキュリティグループに入れる方法があります。このグループのアカウントはNTLM認証を使えなくなるため、仮にハッシュが漏れても、そのアカウントでのNTLMによるなりすましは成立しません。NTLMしか話せない古い機器やアプリを使っているアカウントは動かなくなるので、まず少数で試します。

端末から外部へのNTLM送信そのものは、グループポリシーの「ネットワーク セキュリティ: NTLM を制限する: リモート サーバーに対する送信 NTLM トラフィック」で制御します。いきなり「すべて拒否」にせず、「すべて監査」で業務上の送信先を洗い出してから、例外リストを作って拒否へ切り替えるのが安全な順番です。外向きのファイル共有通信（TCP 445）を境界で止めているかも、併せて点検します。

KB5132061で既定になったNTLM署名と2027年5月の第2段階

11月のWindowsの累積更新には、NTLMの守りを固める変更も入りました。KB5135557（NTLM署名のセキュリティ強化）によると、11月10日以降の更新を当てたWindowsクライアントは、すべての接続でNTLM署名を既定で申し出ます。サーバーは署名ありとなしの両方を受け付け、署名を使わないクライアントは監査イベントで識別できます。

第2段階の2027年5月には、Windowsサーバーが既定で署名を要求し、署名を申し出ないクライアントは拒否されます。署名の有無は Microsoft-Windows-NTLM/Operational ログのイベントID 4023（サーバー側）と4022（クライアント側）で確認することが可能です。中継攻撃への耐性を上げる変更で、今回のハッシュ漏えいとは守る範囲が違いますが、どちらもNTLMの使い方を見直す機会になります。

Outlookの更新を自社で回すか点検を外部に任せるかの判断基準

Officeの更新は、Windowsの更新とは別の経路と別の画面で管理されることが多い領域です。自社で回せる条件と、外部の目を入れる場面を分けておきます。

チャネルと版数を全台で把握できているかで分ける自社対応の範囲

自社で完結できるのは、全端末のOfficeの更新チャネルと版数を管理ツールかスクリプトで一覧にでき、サポートが切れたOffice 2019・2016が残っていないことまで確かめられる場合です。この条件がそろえば、前の章のスクリプトと表で足ります。メール経由の攻撃に備えた添付ファイル対策の設定は、Defender for Office 365の安全な添付ファイルとなりすまし対策の設定で手順を示しています。

外部の点検を入れたほうがよいのは、MSI版や買い切り版のOfficeが部署ごとに混在していて台数が読めない場合や、NTLMしか使えない業務システムが残っていてProtected Usersや送信制限に踏み切れない場合です。Windows以外の機器も含めて悪用中の脆弱性を同じ型で確かめたいときは機器の版確認とKEV照合スクリプトが参考になります。診断範囲の決め方は脆弱性診断の種類と進め方に整理した内容が、診断範囲を検討する際の判断材料です。端末とサーバーの洗い出しから当社に任せたい場合は、脆弱性診断・セキュリティ診断でご相談いただけます。

よくある質問

2026年11月の月例更新とCVE-2026-124194について、情報システム部門からよく出る疑問をまとめました。

Windows Updateを当てればCVE-2026-124194も修正されますか？

修正されません。本件の修正はOffice側の更新に含まれていて、Windowsの累積更新KB5132061などとは別物です。Click-to-Run版のOfficeは既定で自動更新されますが、更新を止める設定や配信の遅延がある環境では、版数を確かめるまで修正済みとは言えません。

プレビューウィンドウでメールを見ただけで被害を受けますか？

MSRCはプレビューウィンドウを攻撃の経路ではないとしています。攻撃者が細工したファイルを利用者が開く操作が必要です。ただし更新が済むまでは、心当たりのないメッセージファイルや添付を開かないよう利用者に周知しておきます。

新しいOutlookやOutlook on the webを使っていれば対象外ですか？

MSRCの影響製品の一覧に載っているのは、Microsoft 365 AppsとOffice LTSC 2024・2021の従来版デスクトップOutlookです。新しいOutlookとOutlook on the webは一覧にありません。同じ端末に従来版が残っていれば対象になるため、端末単位で確かめてください。

CVSSが6.5なのに優先して更新すべきなのはなぜですか？

すでに攻撃に使われていて、CISAのKEVにも追加されているためです。CVSSの点数は被害の大きさを表す尺度で、悪用の有無は含みません。漏れたNTLMv2ハッシュは、社内の別のシステムへのなりすましに使われる可能性があります。

12月の月例更新はいつ公開される予定ですか？

MSRCの11月の案内では、次回は米国時間2026年12月8日、日本時間では9日の予定です。Officeの更新は累積なので12月分にも本件の修正は含まれますが、悪用中の脆弱性を1か月放置する理由にはなりません。11月分を先に当ててください。

関連記事

• Patch Tuesday（パッチチューズデー）とは？日本時間と2026・2027年の日程、Microsoftゼロデイへの対応順：月例更新の日程と、ゼロデイの優先順位の付け方をまとめた解説です。
• Windows 2026年10月の月例更新：CVE-2026-96951の修正KB・Edge修正版とビルド確認スクリプト：前月の悪用確認済み脆弱性と、Windowsのビルド照合の手順です。
• BOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方：KEVの期限の決まり方を自社の運用ルールに移す方法です。
• Microsoft Defender for Office 365とは：Plan 1・Plan 2の違いと安全なリンク・添付ファイル・なりすまし対策のPowerShell設定【2026年11月】：メール経由の攻撃をOutlookに届く前に絞る設定です。
• CVE-2026-42897とは？Exchange OWAの悪用済みXSSと修正SU・緩和策の外し方【2026年10月】：Exchange側で悪用された脆弱性の修正と緩和策の扱いです。