Outlookの脆弱性が悪用されているとして、IPAが11月の更新プログラムの適用を呼びかけ

IPA（情報処理推進機構）とJPCERT/CC（日本の情報セキュリティの調整機関）は2026年11月11日、マイクロソフトが同日公表した11月のセキュリティ更新プログラムについて、Outlookの脆弱性「CVE-2026-124194」がすでに悪用されているとして、早急な適用を呼びかけました。

発表された内容

IPAとJPCERT/CCの記載から確認できることは、次のとおりです。

• 悪用が確認された脆弱性： Outlookの「なりすましの脆弱性」（CVE-2026-124194）です。マイクロソフトが、悪用の事実を確認済みと公表しています。IPAは、今後被害が拡大するおそれがあるとして、至急の適用を求めています。
• 起きるおそれのあること： JPCERT/CCによると、細工されたメッセージファイルをOutlookで開くと、通常は表示される警告が出ないまま、攻撃者の管理するサーバーへ接続され、認証情報（ログインに利用する情報）が漏えいするおそれがあります。
• ほかの脆弱性： 11月の更新プログラム全体では、アプリケーションが異常終了する、パソコンを遠隔から制御される、機微な情報が漏えいするといった被害につながる脆弱性が修正されています。
• 対策： セキュリティ更新プログラムの適用です。更新は通常、Windows Updateを通じて自動でダウンロード・インストールされます。適用には再起動が必要になることがあります。
• 更新を管理している組織： マイクロソフトの更新プログラム情報を確認し、早期に展開するよう、IPAが求めています。

自社で確認する点

更新が自動で済んでいるかを、パソコンごとに確認します。 Windowsの「設定」から「Windows Update」を開くと、更新の状況と、再起動の待ち状態が分かります。再起動が済んでいないパソコンは、更新が完了していないことがあります。

パソコンの管理を任せている会社や担当者がいる場合は、11月分の更新を適用済みか聞きます。 更新を一斉に配布する仕組みを導入している会社は、配布の開始日を確認します。

更新が済むまでの間は、心当たりのない送信元のメールに付いたファイルを、Outlookで開かないようにします。 今回の脆弱性は、細工されたメッセージファイルをOutlookで開くことが入口です。

OutlookをはじめとするMicrosoft製品の11月の更新プログラムは、すでに悪用が確認された脆弱性を含むため、各パソコンで適用と再起動が済んでいるかの確認を、早めに済ませておく必要があります。

参考情報・出典

• IPA：Microsoft 製品の脆弱性対策について(2026年11月)

  11月の更新プログラムの公表、CVE-2026-124194の悪用確認、対策（Windows Updateでの適用、再起動、更新管理を行う組織の対応）。

  参照確認日：2026-11-12

• JPCERT/CC：2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起（JPCERT-AT-2026-0035）

  CVE-2026-124194の悪用の内容（細工されたメッセージファイル、警告の非表示、認証情報の漏えい）と対策。

  参照確認日：2026-11-12