【11/11】Microsoft 11月のセキュリティ更新｜Outlook脆弱性 CVE-2026-124194 悪用確認・Windows Update

2026年11月10日（米国時間）、日本時間では11月11日に、Microsoftが月例のセキュリティ更新プログラム（いわゆる月例パッチ）を公開しました。今月は、Outlookのなりすましの脆弱性（CVE-2026-124194）が、すでに攻撃に使われていることが確認されています。

この脆弱性を悪用されると、細工されたファイルを Outlook で開いただけで、その人になりすますための認証の情報が攻撃者に渡るおそれがあります。11月11日には JPCERT/CC と IPA（情報処理推進機構）も注意喚起を出し、IPA は「至急」更新するよう呼びかけています。

この記事では、会社で Windows・Office・Outlook を使っている情報システムの担当者や総務の兼任の担当者に向けて、今月なにが直されたのか、どれを急ぐべきか、更新が済んだかをどう確かめるかを、2026年11月11日時点の公式情報で整理します。

結論：Office（Outlook）と Windows の両方を、今月の更新プログラムに上げてください。 Outlook の CVE-2026-124194 は悪用が確認済みです。Office は「ファイル」→「Office アカウント」→「更新オプション」→「今すぐ更新」、Windows は「設定」→「Windows Update」で更新できます。社内に Exchange Server を置いている会社は、Exchange と Windows Server の更新も急いでください。

2026年11月のセキュリティ更新の概要

Microsoft は件数そのものを発表していません。上の件数は、Microsoft が公開している機械可読のデータ（セキュリティ更新プログラム ガイドの CVRF）から、当社が11月11日時点で数えた値です。ほかの会社の数え方（Microsoft Edge や他社の部品の脆弱性を含めるかどうか）によって、報道の件数とは違うことがあります。

深刻度「緊急」の中には、Azure のクラウドのサービスのように、Microsoft の側で直すので利用者の操作が要らないものも含まれます。会社のパソコンやサーバーで対応が要るのは、主に Windows・Office・Exchange Server・SQL Server などです。

すぐ対応すべきもの：悪用が確認された Outlook の脆弱性 CVE-2026-124194

何が起きるのか

Microsoft の説明を、かみ砕くと次のとおりです。

1. 攻撃者が、細工したメッセージのファイル（Office のファイル）を送りつけ、開くように仕向けます。
2. 利用者がそれを Outlook で開くと、Outlook が、いつもなら出す「外部のコンテンツ」の警告を出さないまま、攻撃者が用意したネットワーク上の場所に接続します。
3. その際に、利用者の Windows のログインに使う認証の情報（NTLMv2 ハッシュ）が攻撃者に渡ります。攻撃者はこれを使って、その人として別のシステムにログインできるおそれがあります。

攻撃者は事前にパスワードなどを知っている必要はありません。一方で、利用者がファイルを開く操作が必要です。Microsoft は、プレビューウィンドウ（閲覧ウィンドウ）で表示しただけでは、この脆弱性は発動しないとしています。

深刻度は「警告（Moderate）」と、点数だけを見れば中くらいです。それでも、すでに実際の攻撃で使われているため、JPCERT/CC・IPA ともに今月の注意喚起で真っ先に挙げています。点数が低いからと後回しにせず、優先して更新してください。

修正された Office の版

Microsoft の「Microsoft 365 Apps のセキュリティ更新」のリリースノートでは、11月10日の更新として次の版が出ています。Outlook のバージョン情報に表示される版とビルドが、使っているチャネルの次の版と同じか、それより新しければ更新済みです。

出典：Microsoft 365 Apps のセキュリティ更新のリリースノート、セキュリティ更新プログラム ガイド CVE-2026-124194。2026年11月11日確認

そのほかに急ぎたい「緊急」の脆弱性（悪用は未確認）

悪用が確認されたのは Outlook の1件だけですが、ほかにも深刻度「緊急」の修正が多く出ています。中小企業で影響が大きいものを抜き出します。11月11日時点で、いずれも悪用は確認されていません。

出典：セキュリティ更新プログラム ガイド（各 CVE のページ）。2026年11月11日確認

CVE-2026-124194 は「プレビューでは発動しない」とされていますが、同じ月の Outlook の「緊急」の3件はプレビューウィンドウが攻撃の経路です。「開かなければ大丈夫」とは言えないので、Office の更新そのものを急いでください。

影響を受ける主な製品

出典：Microsoft「2026 年 11 月のセキュリティ更新プログラム (月例)」（製品ごとの最大深刻度）、セキュリティ更新プログラム ガイド（対象の版）。Windows 10 は Microsoft の公式ブログの一覧には載っていませんが、セキュリティ更新プログラム ガイドには Windows 10 22H2 向けの更新（KB5131096）が載っています。これを受け取れるのは、有料の延長セキュリティ更新（ESU）に登録したパソコンです。

Exchange Server 2016・2019 は、すでにサポートが終わっています。Microsoft の Exchange チームは、これらを「恒久的に脆弱」とみなし、すぐに移行するよう求めています。今月の Exchange の更新が出ているのは Exchange Server Subscription Edition だけです。Exchange Online（Microsoft 365 のメール）を使っている会社は、Microsoft の側で対応済みです。

更新が済んだかの確かめ方と手順

1. Office（Outlook）を更新する・版を確かめる

1. Outlook を開き、「ファイル」→「Office アカウント」を選びます（見つからなければ「ヘルプ」）。
2. 「製品情報」の下に、Outlook のバージョンとビルドが表示されます。上の「修正された Office の版」の表と比べます。
3. 古ければ、同じ画面の「更新オプション」→「今すぐ更新」を選びます。更新が終わったら Outlook を開き直し、もう一度バージョンを確かめます。

新しい Outlook（新しい Outlook for Windows）を使っている場合、バージョンは「設定」（歯車のアイコン）→「全般」→「Outlook のバージョン情報」で確かめられます。なお、Microsoft が CVE-2026-124194 の対象として挙げているのは、上の表の Office の製品です。

2. Windows を更新する・版を確かめる

1. 「スタート」→「設定」→「Windows Update」を開き、「更新プログラムのチェック」を選びます。
2. 今月の更新プログラムが入ったら、求められたとおりに再起動します。再起動しないと修正が反映されません。
3. 同じ画面の「更新の履歴」で、下の表の KB 番号が入っているかを確かめます。キーボードの Windows キー＋R で「winver」と入力すると、今のビルドも確かめられます。

出典：セキュリティ更新プログラム ガイド（CVE-2026-116928 の修正の一覧）、Microsoft の日本語の公式ブログ。ホットパッチを使っている環境では、Windows 11 は KB5132043、Windows Server 2025 は KB5131077 が配られます。2026年11月11日確認

3. 会社で WSUS・Intune・Microsoft 365 管理センターを使っている場合

更新の配布を管理者がまとめて管理している会社では、個々のパソコンで「今すぐ更新」を押しても、管理者が承認するまで今月の更新が入らないことがあります。IPA も「更新管理を行う組織は、早期に展開を」と呼びかけています。社内の管理者や、パソコンの管理を任せている会社に、次の点を確かめてください。

• 11月の Windows の更新プログラムを、いつまでに全台に配るか（承認・配布の予定）
• Office（Microsoft 365 Apps）の更新チャネルはどれで、11月の版が配られているか
• 更新が失敗している・長く電源を入れていないパソコンが残っていないか
• 社内に Exchange Server・Windows Server がある場合、その更新と再起動の予定

すぐに更新できないときは

2026年11月11日時点で、Microsoft は CVE-2026-124194 の回避策・軽減策を示していません。JPCERT/CC・IPA の注意喚起にも回避策の記載はなく、どちらも更新プログラムの適用を対策としています。米CISA も「ベンダーの指示に従って対策を当てる」としています。

• まずは Office の更新を最優先にしてください。修正版は各チャネルに出ています
• 更新が済むまでの間は、心当たりのない相手から届いたファイルや、急がせる内容のメールに付いたファイルを開かないよう、社内に呼びかけてください（Microsoft の説明では、攻撃には利用者がファイルを開く操作が必要です）
• ただし、同じ月の Outlook の「緊急」の脆弱性にはプレビューウィンドウで発動するものがあります。呼びかけは更新までのつなぎであり、更新の代わりにはなりません

Exchange Server を置いている会社は、Exchange チームが、10月の Windows Server の更新の後に Exchange が不安定になる問題があり、11月の Windows Server の更新で解消すると案内しています。Exchange の更新と Windows の更新は、どちらを先に入れてもよいとされています。

2026年11月のセキュリティ更新の時系列【11月11日時点】

日付は各発表の表記によります（Microsoft・CISA は米国の日付のため、日本時間では翌日になることがあります）。

よくある質問

CVE-2026-124194 とは何ですか？

Microsoft Outlook のなりすましの脆弱性です。細工したファイルを Outlook で開くと、警告が出ないまま攻撃者のサーバーに接続し、その人の認証の情報（NTLMv2 ハッシュ）が漏れて、なりすましに使われるおそれがあります。2026年11月10日（米国時間）の更新で修正され、Microsoft と米CISA が悪用を確認しています。

Windows Update をすれば Outlook の脆弱性も直りますか？

Office の更新の仕組みは、使っている製品や会社の設定によって異なります。Windows Update を済ませても Office が古いままのことがあるので、Outlook の「ファイル」→「Office アカウント」で版を確かめ、古ければ「更新オプション」→「今すぐ更新」を選んでください。

プレビューウィンドウで見ただけなら大丈夫ですか？

CVE-2026-124194 については、Microsoft はプレビューウィンドウは攻撃の経路ではないとしています。ただし、同じ月に直った Outlook の「緊急」の脆弱性3件（CVE-2026-110043 など）は、プレビューウィンドウで表示しただけで発動するおそれがあります。Office を更新するのが確実です。

Microsoft 365 のメール（Exchange Online）を使っていれば対応は要りませんか？

Exchange Online の側は Microsoft が対応済みです。ただし、CVE-2026-124194 はパソコンに入っている Outlook（Office）の脆弱性なので、メールのサービスが Exchange Online でも、各パソコンの Office の更新は必要です。

Windows 10 のパソコンはどうすればいいですか？

Windows 10 のサポートは2025年10月14日に終わっています。今月の Windows 10 22H2 向けの更新（KB5131096）を受け取れるのは、有料の延長セキュリティ更新（ESU）に登録したパソコンだけです。登録していない Windows 10 には今月の Windows の修正が届かないので、Windows 11 への移行を急いでください。

深刻度が「警告（Moderate）」なのに、なぜ急ぐのですか？

深刻度は脆弱性そのものの性質から決まる目安で、実際に攻撃に使われているかどうかは別です。CVE-2026-124194 は、すでに悪用が確認されているため、点数の高い未悪用の脆弱性よりも先に手当てすべきものとして、JPCERT/CC・IPA ともに注意喚起の中心に据えています。

毎月、何を見ればいいですか？

Microsoft の月例の更新は、原則として毎月第2火曜日（米国時間）、日本時間ではその翌日の水曜日に出ます。その日に、Microsoft の日本語の公式ブログ（Japan Security Team）と IPA・JPCERT/CC の注意喚起で「悪用が確認されたもの」があるかを見て、Windows と Office の更新が全台に入ったかを確かめるのが基本です。当社も毎月、この形で速報をまとめる予定です。

まとめ

• 2026年11月10日（米国時間）、Microsoft が月例のセキュリティ更新を公開した
• Outlook のなりすましの脆弱性 CVE-2026-124194 は悪用を確認済み。細工したファイルを開くと、なりすましに使える認証の情報が漏れるおそれ
• Office は「ファイル」→「Office アカウント」→「更新オプション」→「今すぐ更新」、Windows は「設定」→「Windows Update」で更新し、版と KB 番号を確かめる
• 社内に Exchange Server・Windows Server がある会社は、Windows Search（CVE-2026-116928）や Exchange（CVE-2026-118207）の修正も急ぐ
• Microsoft は回避策を示していない。サポートが切れた Windows 10（ESU なし）と Exchange 2016・2019 には修正が届かない

Windows や Office の更新を含め、会社の情報セキュリティを何から整えればよいかは、エンハンスドのセキュリティ対策の支援でもご案内しています。

参考資料

• 2026 年 11 月のセキュリティ更新プログラム (月例) - Microsoft Japan Security Team
• 2026 年 11 月のセキュリティ更新プログラム リリースノート - Microsoft
• CVE-2026-124194 - セキュリティ更新プログラム ガイド（Microsoft）
• Release notes for Microsoft 365 Apps security updates - Microsoft Learn
• Released: November 2026 Exchange Server Security Updates - Microsoft Exchange Team Blog
• 2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起 - JPCERT/CC
• Microsoft 製品の脆弱性対策について(2026年11月) - IPA
• Known Exploited Vulnerabilities Catalog - CISA
• Outlook のバージョンを確認する - Microsoft サポート
• Extended Security Updates (ESU) program for Windows 10 - Microsoft Learn