本文へスキップ
ITDセキュリティ対策プラットフォーム
目的から探す
検索
事故・脆弱性14分で読める

CVE-2026-124194 — Microsoft Outlookのなりすまし脆弱性（NTLMv2ハッシュが漏れる）の解説と対応策（11月の月例更新で修正・KEV掲載済み）

CVE-2026-124194は、細工したメッセージファイルを開くとOutlookが警告なしに外部へ接続し、NTLMv2ハッシュが漏れる脆弱性（CVSS 6.5）。2026年11月の月例で修正、KEV追加済み。

本文を読む
中CVSS6.5#CVE-2026-124194#Microsoft Outlook#Microsoft#Office#なりすまし#NTLM#KEV#月例更新
公開日
更新日
最終確認
目次

Microsoft Outlookの、細工したメッセージファイルを開くとNTLMv2ハッシュが外部へ漏れる脆弱性の解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY / KEV
CVE
CVE-2026-124194（Microsoft Outlook Spoofing Vulnerability）
重大度
CVSS v3.1 6.5（Medium。ベクターは AV:N/AC:L/PR:N/UI:R/C:H。Microsoftが付与、NVDにも同値）。MSRCの深刻度は Moderate
種別
危険な動作を利用者に警告しない不備（CWE-356）。なりすまし（Spoofing）
影響
細工したメッセージファイルを開くと、外部コンテンツの警告なしに外部へ接続し、NTLMv2ハッシュが漏れる。プレビューは経路ではない
対象
Office LTSC 2021、Office LTSC 2024、Microsoft 365 Apps for Enterprise
修正
LTSC 2021：16.0.14334.21048 ／ LTSC 2024：16.0.17932.21140 ／ Microsoft 365 Apps：Officeのセキュリティリリース一覧で確認
公開日
2026年11月10日（月例更新）
悪用状況
Microsoftが悪用を確認（Exploited: Yes）。CISA KEVに2026年11月10日追加（対応期限 11月24日）
6.5
CVSS v3.1（Microsoft）
悪用あり
11月の月例で唯一
NTLMv2ハッシュ
漏れるもの
11月24日
KEVの対応期限

放置の危険度

ハッシュそのものは平文のパスワードではありませんが、Microsoftの勧告は、攻撃者がこれを使って利用者として認証できると説明しています。利用者が社内の共有やサービスにNTLMで認証できる環境では、1人のハッシュ漏えいが、その利用者が届く範囲への侵入の足がかりになり得ます。

どんな脆弱性か

Microsoftの勧告は、認証されていない攻撃者が細工したメッセージファイルを送り、利用者に開かせると、Outlookが外部コンテンツの通常の警告を出さずに攻撃者の管理する接続先へつながり、利用者になりすませる認証情報が渡り得ると説明しています。CWE-356（危険な動作を警告しない）に分類されます。

  • 悪用にはネットワーク接続と利用者の操作が要ります。CVSSの UI:R は「悪意のあるOfficeファイルを開かせる」ことを指します。
  • Microsoftの勧告は、プレビューウィンドウは攻撃経路ではないとしています。
  • 漏れるのはNTLMv2ハッシュです。機密性への影響が高い（C:H）一方、改ざんと可用性への影響はないため、点数は6.5になります。
  • ファイルの作り方や、接続の仕組みの細部は、勧告にも書かれておらず、当サイトも記載しません。

影響範囲

項目内容
製品Microsoft Outlook（Office LTSC 2021／Office LTSC 2024／Microsoft 365 Apps for Enterprise、32ビット・64ビット）
修正（LTSC 2021）16.0.14334.21048
修正（LTSC 2024）16.0.17932.21140
修正（Microsoft 365 Apps）Officeのセキュリティリリース一覧（aka.ms/OfficeSecurityReleases）で確認
回避策・緩和策勧告に記載を確認できなかった
利用者の対応必要（MicrosoftのCustomer Action Required: Yes）
  • 一覧にない版（旧版のOfficeなど）は、勧告に記載がありません。使っている場合はMicrosoftに確認してください。
  • Officeが自動更新でも、更新チャネルの設定で反映が遅れることがあります。ビルドを実際に確かめてください。

自分が対象か確かめる方法

1

Officeのビルドを確認する

Outlookの「ファイル」→「Officeアカウント」→「Outlookのバージョン情報」でビルドを確認します。LTSC 2021なら 16.0.14334.21048 未満、LTSC 2024なら 16.0.17932.21140 未満が対象です。Microsoft 365 Appsは、自分のチャネルの修正ビルドを一覧で確かめます。端末が多い場合は、資産棚卸しチェックリストの要領で一覧にします。

2

更新の配信状況を確認する

自動更新か、管理者が配信を管理しているかを確かめます。配信を止めている場合は、11月の月例の分が止まっていないかを見ます。

3

外向きのSMBとNTLMの現状を確認する

端末から社外へ、SMB（TCP 445）で出られるかを確かめます。NTLMの外向き通信を制限する設定が入っているかも見ます。ここが開いていると、ハッシュが漏れたときの被害が大きくなります。

今日やること

1

Officeを修正ビルド以降へ更新する（最優先）

LTSC 2021は 16.0.14334.21048、LTSC 2024は 16.0.17932.21140 以降にします。Microsoft 365 Appsは、Officeのセキュリティリリース一覧で自分のチャネルの修正ビルドを確かめ、更新します。KEVの対応期限は11月24日ですが、悪用が確認されているので、期限を待たず進めてください。

2

外向きのSMBを境界で止める

一般的な防御として、社内ネットワークから社外へのSMB（TCP 445）の通信を、ファイアウォールで止めます。これで、利用者が細工されたファイルを開いても、ハッシュが社外の接続先に届きにくくなります。社外とのファイル共有でSMBを使っている場合は、先に用途を確かめてください。

3

NTLMの外向き通信を制限する

Microsoftは、Windowsのポリシー「ネットワークセキュリティ: NTLMを制限する: リモートサーバーへの発信NTLMトラフィック」で、発信するNTLMを監査または拒否できると案内しています（Microsoft Learn）。いきなり「すべて拒否」にすると業務が止まるので、まず「すべて監査」で利用状況を確かめてから、段階的に絞ります。

4

更新前に開いた覚えがある利用者を確認する

不審なメッセージファイルを開いた覚えのある利用者がいれば、パスワードを変更し、サインインの履歴に不審なものがないかを確かめます。漏れるのはパスワードから作られたハッシュなので、パスワードを変えれば、漏れたハッシュは使えなくなります。あわせて、アカウントの保護を固めてください（多要素認証ガイド）。

5

利用者に周知する

出所の分からないメッセージファイルや添付ファイルを開かないことを、利用者に周知します。フィッシングの典型的な手口は、フィッシングとはにまとめています。

悪用状況

  • Microsoftの勧告は、この脆弱性について、公開済み（Publicly Disclosed）は No、悪用（Exploited）は Yes としています。
  • CISAは2026年11月10日にKEVへ追加し、対応期限を11月24日としました（KEVの版 2026.11.10）。KEVの名称は「Missing User Interaction for Potentially Unsafe Action」です。
  • KEVの記録上、ランサムウェアでの利用は「Unknown（不明）」で、フォレンジックの確認は「No」です。
  • CVEの記録に、CISAの評価（悪用は活発・自動化は不可・技術的な影響は部分的）が追記されています。
  • NVDの状態は Analyzed（分析済み）で、Microsoftが付けた6.5が載っています。
  • 攻撃の規模・手口・攻撃者についての公開情報は、確認できませんでした。報告者の謝辞が勧告にあります。

同じ11月の月例で優先して当てたいもの

2026年11月の月例更新は、MicrosoftのCVRF（セキュリティ更新の機械可読データ）に1342件のエントリがあります。これにはEdgeが取り込むChromiumの脆弱性など、他社製品のものも含まれるため、Microsoft製品だけの件数は断定しません。そのうち深刻度が Critical のものは68件で、この記事のCVE-2026-124194は Moderate です。下は、CVRFで確かめた Critical の主なものです。悪用が確認されているのは、CVRF上ではこのCVEだけです。

CVE製品一言
CVE-2026-118207Exchange Server（Subscription Edition）リモートコード実行（CVSS 8.8）。低権限で認証済みの攻撃者が対象。悪用される可能性が高いとの評価
CVE-2026-119958Windows LDAPリモートコード実行（CVSS 9.8）。認証不要。悪用の可能性は低いとの評価
CVE-2026-116928Windows Searchリモートコード実行（CVSS 9.8）。Exchangeが添付ファイルを自動で処理する経路が勧告に挙がる。悪用の可能性は低いとの評価
CVE-2026-119952Windows Schannelリモートコード実行（CVSS 8.1）。認証不要。悪用される可能性が高いとの評価
CVE-2026-118146Active Directory Domain Servicesリモートコード実行（CVSS 8.8）。悪用される可能性が高いとの評価
  • 「悪用される可能性」は、Microsoftが勧告に付ける評価（Exploitability Index）で、実際の悪用の有無（Exploited）とは別です。
  • 一覧は主なものです。ほかのCriticalは、Microsoftの勧告で確かめてください。

出典

外向きのSMB（TCP 445）の遮断は、当サイトが一般的な防御として挙げたもので、Microsoftの勧告に書かれた回避策ではありません。最終確認：2026年11月11日。

次に読む

よくある質問

QCVE-2026-124194とは何ですか？
A

Microsoft Outlookの、危険な動作を利用者に警告しない不備（CWE-356）です。Microsoftの勧告は、認証されていない攻撃者が細工したメッセージファイルを送り、利用者に開かせると、外部コンテンツの通常の警告が出ないまま攻撃者の管理する接続先へつながり、利用者になりすませる認証情報（NTLMv2ハッシュ）が渡る可能性があると説明しています。CVSS v3.1は6.5（Medium）です。

Qどの製品が対象で、修正はどれですか？
A

MicrosoftのCVRFとCVEの記録では、Microsoft Office LTSC 2021（修正ビルド 16.0.14334.21048）、Office LTSC 2024（16.0.17932.21140）、Microsoft 365 Apps for Enterprise（修正ビルドはOfficeのセキュリティリリース一覧で確認）が対象です。2026年11月10日の月例更新で提供されています。

Qプレビューするだけで影響を受けますか？
A

Microsoftの勧告では、プレビューウィンドウは攻撃経路ではないとされています。悪用には、利用者が細工されたファイルを開くという操作が要ります（CVSSでもUI:R）。

Q更新できない間の回避策はありますか？
A

勧告に、回避策や緩和策の記載は確認できませんでした。更新の代わりになる設定として案内されているものはありません。更新までの間は、当サイトの補足として、外向きのSMB（TCP 445）の通信を境界で止める、NTLMの外向き通信を制限するなど、ハッシュが外へ出ても使われにくくする対策を取ってください。

Qすでに悪用されていますか？
A

はい。Microsoftは悪用を確認済み（Exploited: Yes）としており、CISAも2026年11月10日にKEVへ追加しました（対応期限は11月24日）。KEVの記録上、ランサムウェアでの利用は「Unknown（不明）」です。攻撃の規模や手口は、公開情報から確認できませんでした。

QCVSSが6.5なのに、なぜ急ぐのですか？
A

CVSSは悪用の有無を反映しない評価だからです。この脆弱性は影響が機密性（ハッシュの漏えい）に限られるため点数が中程度ですが、漏れたハッシュで利用者になりすませるため、実害は点数より大きくなり得ます。優先順位は、悪用の有無（KEV）を先に見て決めます。