# 【11/11】Microsoft 11月のセキュリティ更新｜Outlook脆弱性 CVE-2026-124194 悪用確認・Windows Update

> Microsoftが11月10日（米国時間）に月例のセキュリティ更新を公開。Outlookの脆弱性CVE-2026-124194は悪用が確認済みで、細工したファイルを開くと認証情報が漏れるおそれがあります。対象製品、OfficeとWindows Updateの確かめ方、急ぐべき緊急の脆弱性をまとめます。

- URL: https://enhanced.co.jp/articles/microsoft-security-update-2026-11/
- 公開日: 2026-11-11
- カテゴリー: [セキュリティ対策](https://enhanced.co.jp/topics/security/)
- タグ: セキュリティ, 脆弱性
- 発行: エンハンスド株式会社 (https://enhanced.co.jp/)

---

# 【11/11】Microsoft 11月のセキュリティ更新｜Outlook脆弱性 CVE-2026-124194 悪用確認・Windows Update

2026年11月10日（米国時間）、日本時間では11月11日に、Microsoftが月例のセキュリティ更新プログラム（いわゆる月例パッチ）を公開しました。今月は、**Outlookのなりすましの脆弱性（CVE-2026-124194）が、すでに攻撃に使われていることが確認されています**。

この脆弱性を悪用されると、細工されたファイルを Outlook で開いただけで、**その人になりすますための認証の情報が攻撃者に渡るおそれ**があります。11月11日には JPCERT/CC と IPA（情報処理推進機構）も注意喚起を出し、IPA は「至急」更新するよう呼びかけています。

この記事では、会社で Windows・Office・Outlook を使っている情報システムの担当者や総務の兼任の担当者に向けて、**今月なにが直されたのか、どれを急ぐべきか、更新が済んだかをどう確かめるか**を、2026年11月11日時点の公式情報で整理します。

> **結論：Office（Outlook）と Windows の両方を、今月の更新プログラムに上げてください。** Outlook の CVE-2026-124194 は悪用が確認済みです。Office は「ファイル」→「Office アカウント」→「更新オプション」→「今すぐ更新」、Windows は「設定」→「Windows Update」で更新できます。社内に Exchange Server を置いている会社は、Exchange と Windows Server の更新も急いでください。

Windows・Office の更新をお手伝いします「全部のパソコンに入ったか分からない」を、台数分まとめて確かめます

社内のパソコンの Windows と Office の更新状況の確認、止まっている更新の解消、Exchange Server やファイルサーバーなど社内のサーバーの更新を、エンハンスドが代わりに行います。情報システムの専任がいない会社もご相談ください。

[更新の確認を相談する](https://enhanced.co.jp/?inquiry=security#contact)

## 2026年11月のセキュリティ更新の概要

| 項目 | 内容 |
| --- | --- |
| 公開日 | 2026年11月10日（米国時間）。日本時間では11月11日 |
| 修正された脆弱性の数 | 多数（Microsoft は件数を発表していません。製品ごとの内容はセキュリティ更新ガイドで確かめられます） |
| 深刻度「緊急」 | Windows、Office、Exchange Server などに複数（IPA は「緊急」として至急の適用を呼びかけ） |
| 悪用が確認されたもの（ゼロデイ） | **1件：CVE-2026-124194（Outlook のなりすまし）** |
| 公開前に詳細が知られていたもの | 0件 |
| 最大深刻度が「緊急」の製品 | Windows 11、Windows Server 2016〜2025、Microsoft Office、Microsoft Exchange、Microsoft Azure（Microsoft の日本語の公式ブログによる） |
| 国内の注意喚起 | JPCERT/CC（11月11日）、IPA（11月11日） |
| 次回の月例の更新 | 2026年12月8日（米国時間）の予定 |

Microsoft は件数そのものを発表していません。上の件数は、Microsoft が公開している機械可読のデータ（セキュリティ更新プログラム ガイドの CVRF）から、当社が11月11日時点で数えた値です。ほかの会社の数え方（Microsoft Edge や他社の部品の脆弱性を含めるかどうか）によって、報道の件数とは違うことがあります。

深刻度「緊急」の中には、Azure のクラウドのサービスのように、Microsoft の側で直すので利用者の操作が要らないものも含まれます。会社のパソコンやサーバーで対応が要るのは、主に Windows・Office・Exchange Server・SQL Server などです。

## すぐ対応すべきもの：悪用が確認された Outlook の脆弱性 CVE-2026-124194

| 項目 | 内容 |
| --- | --- |
| CVE番号 | CVE-2026-124194 |
| 名前 | Microsoft Outlook のなりすましの脆弱性（Microsoft Outlook Spoofing Vulnerability） |
| 対象 | Microsoft 365 Apps for Enterprise、Office LTSC 2024、Office LTSC 2021（いずれも 32 ビット版・64 ビット版）の Outlook |
| 深刻度 | Microsoft の評価は「警告（Moderate）」、CVSS 3.1 の基本値は 6.5 |
| 悪用 | Microsoft が「悪用を確認」と判定。米CISA が11月10日に KEV（悪用が確認された脆弱性の一覧）に追加し、米政府機関の対応期限は11月24日 |
| 弱点の種類 | CWE-356（危険な操作を利用者に警告しない画面の作り） |
| 回避策 | Microsoft は示していない。対策は更新プログラムの適用 |

### 何が起きるのか

Microsoft の説明を、かみ砕くと次のとおりです。

1. 攻撃者が、細工したメッセージのファイル（Office のファイル）を送りつけ、開くように仕向けます。
2. 利用者がそれを Outlook で開くと、Outlook が、いつもなら出す「外部のコンテンツ」の警告を出さないまま、攻撃者が用意したネットワーク上の場所に接続します。
3. その際に、利用者の Windows のログインに使う認証の情報（NTLMv2 ハッシュ）が攻撃者に渡ります。攻撃者はこれを使って、**その人として別のシステムにログインできるおそれ**があります。

攻撃者は事前にパスワードなどを知っている必要はありません。一方で、**利用者がファイルを開く操作が必要**です。Microsoft は、**プレビューウィンドウ（閲覧ウィンドウ）で表示しただけでは、この脆弱性は発動しない**としています。

深刻度は「警告（Moderate）」と、点数だけを見れば中くらいです。それでも、**すでに実際の攻撃で使われている**ため、JPCERT/CC・IPA ともに今月の注意喚起で真っ先に挙げています。点数が低いからと後回しにせず、優先して更新してください。

### 修正された Office の版

Microsoft の「Microsoft 365 Apps のセキュリティ更新」のリリースノートでは、11月10日の更新として次の版が出ています。Outlook のバージョン情報に表示される版とビルドが、**使っているチャネルの次の版と同じか、それより新しければ**更新済みです。

| チャネル・製品 | バージョン | ビルド |
| --- | --- | --- |
| 最新チャネル（Current Channel） | 2610 | 20527.20196 |
| 月次エンタープライズ チャネル | 2610 / 2609 / 2608 | 20527.20194 / 20430.20264 / 20326.20320 |
| 半期エンタープライズ チャネル | 2610 / 2609 / 2608 | 20527.20192 / 20430.20262 / 20326.20318 |
| Office 2024・Office 2021（一般向けのパッケージ版） | 2610 | 20527.20196 |
| Office LTSC 2024（ボリュームライセンス） | 2408 | 17932.21140 |
| Office LTSC 2021（ボリュームライセンス） | 2108 | 14334.21048 |

出典：[Microsoft 365 Apps のセキュリティ更新のリリースノート](https://learn.microsoft.com/en-us/officeupdates/microsoft365-apps-security-updates)、[セキュリティ更新プログラム ガイド CVE-2026-124194](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194)。2026年11月11日確認

## そのほかに急ぎたい「緊急」の脆弱性（悪用は未確認）

悪用が確認されたのは Outlook の1件だけですが、ほかにも深刻度「緊急」の修正が多く出ています。中小企業で影響が大きいものを抜き出します。11月11日時点で、いずれも悪用は確認されていません。

| CVE番号 | 対象 | 内容 |
| --- | --- | --- |
| CVE-2026-116928 | Windows Search（Windows・Windows Server） | CVSS 9.8。Exchange Server が添付ファイルを自動で索引付けするため、**メールを受け取っただけで（開かなくても）**、ログインなしでコードを実行されるおそれ |
| CVE-2026-119958 | Windows の LDAP（Windows・Windows Server） | CVSS 9.8。細工した LDAP の通信で、ログインなしでコードを実行されるおそれ。Active Directory のドメインコントローラーを置く会社は特に注意 |
| CVE-2026-118207 | Exchange Server Subscription Edition | CVSS 8.8。社内のアカウントを持つ攻撃者がサーバー上でコードを実行できるおそれ。Microsoft の判定は「悪用される可能性が高い」 |
| CVE-2026-110043 ほか2件 | Outlook | CVSS 8.8。**プレビューウィンドウで表示しただけで**コードを実行されるおそれ |
| Word・Excel・PowerPoint の各件 | Office | 細工したファイルを開くとコードを実行されるおそれ。Word などの一部はプレビューウィンドウも攻撃の経路 |
| CVE-2026-119961 | IIS（Windows の Web サーバー機能） | CVSS 8.1。ログインなしでコードを実行されるおそれ。ただし競合状態を突く必要があり、攻撃の難しさは「高い」 |

出典：[セキュリティ更新プログラム ガイド](https://msrc.microsoft.com/update-guide/)（各 CVE のページ）。2026年11月11日確認

CVE-2026-124194 は「プレビューでは発動しない」とされていますが、**同じ月の Outlook の「緊急」の3件はプレビューウィンドウが攻撃の経路**です。「開かなければ大丈夫」とは言えないので、Office の更新そのものを急いでください。

## 影響を受ける主な製品

| 製品 | 最大深刻度 | 会社で確かめること |
| --- | --- | --- |
| Windows 11（26H2・26H1・25H2・24H2・23H2） | 緊急 | 全部のパソコンで Windows Update が済んだか |
| Windows 10 22H2 | 緊急（更新は ESU の対象機だけ） | サポートは2025年10月14日に終了。ESU に入っていない Windows 10 には今月の修正が届かない |
| Windows Server 2016・2019・2022・2025 | 緊急 | ファイルサーバー・ドメインコントローラー・業務サーバーの更新と再起動 |
| Microsoft Office（Microsoft 365 Apps、Office LTSC 2021・2024 ほか） | 緊急 | Outlook・Word・Excel の更新。Mac 版の Office も対象の脆弱性がある |
| Microsoft Exchange Server | 緊急 | 社内に Exchange を置いているなら、Exchange の更新と Windows Server の更新の両方 |
| Microsoft SharePoint Server | 重要 | 社内に SharePoint Server を置いているか |
| Microsoft SQL Server（2017〜2025） | 重要 | 業務システムのデータベースとして使っていないか |
| .NET・Visual Studio・Visual Studio Code | 重要 | 自社で開発やシステムの保守をしている場合 |

出典：[Microsoft「2026 年 11 月のセキュリティ更新プログラム (月例)」](https://www.microsoft.com/msrc/blog/2026/11/202611-security-update)（製品ごとの最大深刻度）、セキュリティ更新プログラム ガイド（対象の版）。Windows 10 は Microsoft の公式ブログの一覧には載っていませんが、セキュリティ更新プログラム ガイドには Windows 10 22H2 向けの更新（KB5131096）が載っています。これを受け取れるのは、有料の延長セキュリティ更新（ESU）に登録したパソコンです。

Exchange Server 2016・2019 は、すでにサポートが終わっています。Microsoft の Exchange チームは、これらを「恒久的に脆弱」とみなし、すぐに移行するよう求めています。今月の Exchange の更新が出ているのは Exchange Server Subscription Edition だけです。Exchange Online（Microsoft 365 のメール）を使っている会社は、Microsoft の側で対応済みです。

## 更新が済んだかの確かめ方と手順

### 1. Office（Outlook）を更新する・版を確かめる

1. Outlook を開き、「ファイル」→「Office アカウント」を選びます（見つからなければ「ヘルプ」）。
2. 「製品情報」の下に、Outlook のバージョンとビルドが表示されます。上の「修正された Office の版」の表と比べます。
3. 古ければ、同じ画面の「更新オプション」→「今すぐ更新」を選びます。更新が終わったら Outlook を開き直し、もう一度バージョンを確かめます。

新しい Outlook（新しい Outlook for Windows）を使っている場合、バージョンは「設定」（歯車のアイコン）→「全般」→「Outlook のバージョン情報」で確かめられます。なお、Microsoft が CVE-2026-124194 の対象として挙げているのは、上の表の Office の製品です。

### 2. Windows を更新する・版を確かめる

1. 「スタート」→「設定」→「Windows Update」を開き、「更新プログラムのチェック」を選びます。
2. 今月の更新プログラムが入ったら、求められたとおりに再起動します。**再起動しないと修正が反映されません**。
3. 同じ画面の「更新の履歴」で、下の表の KB 番号が入っているかを確かめます。キーボードの Windows キー＋R で「winver」と入力すると、今のビルドも確かめられます。

| Windows の版 | 11月の更新プログラム | 更新後のビルド |
| --- | --- | --- |
| Windows 11 26H2 | KB5132061 | 26300.9974 |
| Windows 11 25H2 | KB5132061 | 26200.9974 |
| Windows 11 24H2 | KB5132061 | 26100.9974 |
| Windows 11 26H1 | KB5132059 | 28000.3501 |
| Windows 11 23H2 | KB5131087 | 22631.7711 |
| Windows 10 22H2（ESU） | KB5131096 | 19045.7846 |
| Windows Server 2025 | KB5131080 | 26100.33822 |
| Windows Server 2022 | KB5131090 | 20348.5870 |
| Windows Server 2019 | KB5131085 | 17763.9487 |
| Windows Server 2016 | KB5131291 | 14393.9688 |

出典：セキュリティ更新プログラム ガイド（CVE-2026-116928 の修正の一覧）、Microsoft の日本語の公式ブログ。ホットパッチを使っている環境では、Windows 11 は KB5132043、Windows Server 2025 は KB5131077 が配られます。2026年11月11日確認

### 3. 会社で WSUS・Intune・Microsoft 365 管理センターを使っている場合

更新の配布を管理者がまとめて管理している会社では、個々のパソコンで「今すぐ更新」を押しても、管理者が承認するまで今月の更新が入らないことがあります。IPA も「更新管理を行う組織は、早期に展開を」と呼びかけています。社内の管理者や、パソコンの管理を任せている会社に、次の点を確かめてください。

- 11月の Windows の更新プログラムを、いつまでに全台に配るか（承認・配布の予定）
- Office（Microsoft 365 Apps）の更新チャネルはどれで、11月の版が配られているか
- 更新が失敗している・長く電源を入れていないパソコンが残っていないか
- 社内に Exchange Server・Windows Server がある場合、その更新と再起動の予定

## すぐに更新できないときは

2026年11月11日時点で、**Microsoft は CVE-2026-124194 の回避策・軽減策を示していません**。JPCERT/CC・IPA の注意喚起にも回避策の記載はなく、どちらも更新プログラムの適用を対策としています。米CISA も「ベンダーの指示に従って対策を当てる」としています。

- まずは Office の更新を最優先にしてください。修正版は各チャネルに出ています
- 更新が済むまでの間は、心当たりのない相手から届いたファイルや、急がせる内容のメールに付いたファイルを開かないよう、社内に呼びかけてください（Microsoft の説明では、攻撃には利用者がファイルを開く操作が必要です）
- ただし、同じ月の Outlook の「緊急」の脆弱性にはプレビューウィンドウで発動するものがあります。呼びかけは更新までのつなぎであり、更新の代わりにはなりません

Exchange Server を置いている会社は、Exchange チームが、10月の Windows Server の更新の後に Exchange が不安定になる問題があり、**11月の Windows Server の更新で解消する**と案内しています。Exchange の更新と Windows の更新は、どちらを先に入れてもよいとされています。

月例パッチの運用を任せたい方へ毎月の更新の確認と、サーバーの更新・再起動をまとめてお引き受けします

エンハンスドが、社内のパソコンの Windows と Office の更新状況の確認、更新が止まった機器の対応、Exchange Server や Windows Server の更新と再起動、サポートが切れた Windows 10・Exchange 2016/2019 の移行の計画までを代わりに行います。毎月の更新を担当者ひとりで抱えている会社もご相談ください。

[月例パッチの対応を相談する](https://enhanced.co.jp/?inquiry=security#contact)

## 2026年11月のセキュリティ更新の時系列【11月11日時点】

日付は各発表の表記によります（Microsoft・CISA は米国の日付のため、日本時間では翌日になることがあります）。

| 日付 | 出来事 |
| --- | --- |
| 11月10日（米国時間） | Microsoft が11月の月例のセキュリティ更新を公開。CVE-2026-124194 は「悪用を確認」（[MSRC](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194)）。Exchange チームが Exchange Server の11月の更新を公開（[Exchange Team Blog](https://techcommunity.microsoft.com/blog/exchange/released-november-2026-exchange-server-security-updates/4570368)） |
| 11月10日（米国時間） | 米CISA が CVE-2026-124194 を KEV に追加。米政府機関の対応期限は11月24日（[CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-124194)） |
| 11月11日 | JPCERT/CC が注意喚起 JPCERT-AT-2026-0035 を公開（[JPCERT/CC](https://www.jpcert.or.jp/at/2026/at260035.html)） |
| 11月11日 | IPA が「Microsoft 製品の脆弱性対策について(2026年11月)」を公開（[IPA](https://www.ipa.go.jp/security/security-alert/2026/1111-ms.html)） |
| 12月8日（米国時間） | 次回の月例のセキュリティ更新の予定日 |

## よくある質問

### CVE-2026-124194 とは何ですか？

Microsoft Outlook のなりすましの脆弱性です。細工したファイルを Outlook で開くと、警告が出ないまま攻撃者のサーバーに接続し、その人の認証の情報（NTLMv2 ハッシュ）が漏れて、なりすましに使われるおそれがあります。2026年11月10日（米国時間）の更新で修正され、Microsoft と米CISA が悪用を確認しています。

### Windows Update をすれば Outlook の脆弱性も直りますか？

Office の更新の仕組みは、使っている製品や会社の設定によって異なります。Windows Update を済ませても Office が古いままのことがあるので、Outlook の「ファイル」→「Office アカウント」で版を確かめ、古ければ「更新オプション」→「今すぐ更新」を選んでください。

### プレビューウィンドウで見ただけなら大丈夫ですか？

CVE-2026-124194 については、Microsoft はプレビューウィンドウは攻撃の経路ではないとしています。ただし、同じ月に直った Outlook の「緊急」の脆弱性3件（CVE-2026-110043 など）は、プレビューウィンドウで表示しただけで発動するおそれがあります。Office を更新するのが確実です。

### Microsoft 365 のメール（Exchange Online）を使っていれば対応は要りませんか？

Exchange Online の側は Microsoft が対応済みです。ただし、CVE-2026-124194 はパソコンに入っている Outlook（Office）の脆弱性なので、メールのサービスが Exchange Online でも、各パソコンの Office の更新は必要です。

### Windows 10 のパソコンはどうすればいいですか？

Windows 10 のサポートは2025年10月14日に終わっています。今月の Windows 10 22H2 向けの更新（KB5131096）を受け取れるのは、有料の延長セキュリティ更新（ESU）に登録したパソコンだけです。登録していない Windows 10 には今月の Windows の修正が届かないので、Windows 11 への移行を急いでください。

### 深刻度が「警告（Moderate）」なのに、なぜ急ぐのですか？

深刻度は脆弱性そのものの性質から決まる目安で、実際に攻撃に使われているかどうかは別です。CVE-2026-124194 は、すでに悪用が確認されているため、点数の高い未悪用の脆弱性よりも先に手当てすべきものとして、JPCERT/CC・IPA ともに注意喚起の中心に据えています。

### 毎月、何を見ればいいですか？

Microsoft の月例の更新は、原則として毎月第2火曜日（米国時間）、日本時間ではその翌日の水曜日に出ます。その日に、Microsoft の日本語の公式ブログ（Japan Security Team）と IPA・JPCERT/CC の注意喚起で「悪用が確認されたもの」があるかを見て、Windows と Office の更新が全台に入ったかを確かめるのが基本です。当社も毎月、この形で速報をまとめる予定です。

## まとめ

- 2026年11月10日（米国時間）、Microsoft が月例のセキュリティ更新を公開した
- Outlook のなりすましの脆弱性 **CVE-2026-124194** は悪用を確認済み。細工したファイルを開くと、なりすましに使える認証の情報が漏れるおそれ
- Office は「ファイル」→「Office アカウント」→「更新オプション」→「今すぐ更新」、Windows は「設定」→「Windows Update」で更新し、版と KB 番号を確かめる
- 社内に Exchange Server・Windows Server がある会社は、Windows Search（CVE-2026-116928）や Exchange（CVE-2026-118207）の修正も急ぐ
- Microsoft は回避策を示していない。サポートが切れた Windows 10（ESU なし）と Exchange 2016・2019 には修正が届かない

Windows や Office の更新を含め、会社の情報セキュリティを何から整えればよいかは、[エンハンスドのセキュリティ対策の支援](https://enhanced.co.jp/services/ai-acceleration/security/)でもご案内しています。

## 参考資料

- [2026 年 11 月のセキュリティ更新プログラム (月例) - Microsoft Japan Security Team](https://www.microsoft.com/msrc/blog/2026/11/202611-security-update)
- [2026 年 11 月のセキュリティ更新プログラム リリースノート - Microsoft](https://msrc.microsoft.com/update-guide/ja-jp/releaseNote/2026-Nov)
- [CVE-2026-124194 - セキュリティ更新プログラム ガイド（Microsoft）](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194)
- [Release notes for Microsoft 365 Apps security updates - Microsoft Learn](https://learn.microsoft.com/en-us/officeupdates/microsoft365-apps-security-updates)
- [Released: November 2026 Exchange Server Security Updates - Microsoft Exchange Team Blog](https://techcommunity.microsoft.com/blog/exchange/released-november-2026-exchange-server-security-updates/4570368)
- [2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起 - JPCERT/CC](https://www.jpcert.or.jp/at/2026/at260035.html)
- [Microsoft 製品の脆弱性対策について(2026年11月) - IPA](https://www.ipa.go.jp/security/security-alert/2026/1111-ms.html)
- [Known Exploited Vulnerabilities Catalog - CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-124194)
- [Outlook のバージョンを確認する - Microsoft サポート](https://support.microsoft.com/ja-jp/office/outlook-%E3%81%AE%E3%83%90%E3%83%BC%E3%82%B8%E3%83%A7%E3%83%B3%E3%82%92%E7%A2%BA%E8%AA%8D%E3%81%99%E3%82%8B-b3a9568c-edb5-42b9-9825-d48d82b2257c)
- [Extended Security Updates (ESU) program for Windows 10 - Microsoft Learn](https://learn.microsoft.com/en-us/windows/whats-new/extended-security-updates)

---

出典: 「【11/11】Microsoft 11月のセキュリティ更新｜Outlook脆弱性 CVE-2026-124194 悪用確認・Windows Update」エンハンスド株式会社 https://enhanced.co.jp/articles/microsoft-security-update-2026-11/