Microsoft Outlookの脆弱性で認証情報漏えい、悪用確認
Microsoft Outlookで細工されたメッセージファイルを開くと、NTLMv2ハッシュが攻撃者に渡る脆弱性で、悪用が確認されています。Microsoft 365 AppsやOffice LTSCを使う組織は、修正版への更新と、不審なファイルを開いた人がいないかの確認を進めてください。
急ぎ度: 至急
実際の攻撃での悪用が確認されてKEVに追加され、修正版も公開済みで、CVSS v3は6.5と中程度でも更新を先送りする理由がないためです。
関係があるか
Microsoft 365 Apps for EnterpriseまたはOffice LTSCのOutlookを業務で使っている組織が対象です。社内のWindows認証にNTLMが残っている環境では、漏れた情報の影響が広がるおそれがあります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Microsoft 365 Apps for Enterprise | 16.0.1以降で、Microsoftが示す修正版より前の版 | Officeセキュリティリリースの一覧に掲載された、利用中のチャネルの修正版 |
| Microsoft Office LTSC 2021 | 16.0.1以降、16.0.14334.21048より前 | 16.0.14334.21048 |
| Microsoft Office LTSC 2024 | 16.0.0以降、16.0.17932.21140より前 | 16.0.17932.21140 |
確かめ方
- 1Outlookの「ファイル」から「Officeアカウント」を開き、バージョン情報で版を確認します。
- 2Microsoft 365 Appsは、更新チャネルごとに修正版が異なります。Microsoftのセキュリティリリース一覧で、利用中のチャネルの修正版と照らし合わせます。
- 3多数の端末は、構成管理ツールやインベントリで、Officeの版が上の修正版に達していない端末を洗い出します。
何が起きたか
Microsoft Outlookに、細工されたメッセージファイルを開くと、ユーザーのNTLMv2ハッシュが攻撃者側に渡るおそれのある脆弱性があります。本来は表示されるはずの外部コンテンツの警告が出ないまま、Outlookが攻撃者の用意したネットワーク上の場所へ接続してしまいます。
Microsoftはこの脆弱性が実際の攻撃で悪用されたことを確認しており、KEVにも2026年11月10日に追加されました。
弱点の種類はCWE-356（製品のUIが安全でない操作を警告しない）で、Microsoftの分類は「なりすまし」です。公表は2026年11月10日で、修正版も同日から案内されています。Microsoftの記載では、詳細が事前に一般公開されていたわけではありません。
CVSSの6.5は、情報の漏えいだけが高く評価された結果です。ただ、悪用が確認されている以上、数値の順ではなく先に更新対象へ入れるのが妥当でしょう。
攻撃の流れ
-
1
ファイル送付
攻撃者が、特別に細工されたメッセージファイルをユーザーに送ります。
-
2
ユーザーが開く
ユーザーが影響を受ける版のOutlookでそのファイルを開きます。
-
3
警告なしで接続
Outlookが通常の外部コンテンツの警告を出さず、攻撃者が制御するネットワーク上の場所に接続します。
-
4
ハッシュ漏えい
ユーザーのNTLMv2ハッシュが攻撃者に渡り、そのユーザーとして認証を受けるために使われるおそれがあります。
どう悪用されるか
攻撃者は認証を必要とせず、ネットワーク経由で攻撃します。ただし、悪意のあるOfficeファイルをユーザーに送り、開くよう仕向ける必要があります。Microsoftによると、プレビューウィンドウは攻撃対象になりません。
悪用されると、ユーザーのNTLMv2ハッシュが攻撃者に開示されます。攻撃者はこれを使って、そのユーザーとして認証を受ける可能性があります。CVSSでは、機密性への影響が高く、完全性と可用性への影響はないとされています。
今すぐやること
-
1
Officeの版を確認する
利用中のOfficeがClick-to-Runの場合、レジストリから版を確認できます。出力された版を、affectedの修正版と比べます。
reg query "HKLM\SOFTWARE\Microsoft\Office\ClickToRun\Configuration" /v VersionToReport -
2
修正版に更新する
Microsoft 365 Appsは利用中のチャネルの最新の修正版に、Office LTSC 2021と2024はそれぞれの修正版に更新します。更新の配信を管理している組織は、配信を前倒しします。回避策の有無は、Microsoftの更新プログラムガイドで確認します。
-
3
対応期限を目安に完了させる
KEVでは、米国の政府機関に求められた対応期限が2026年11月24日とされています。民間の組織でも、この日までに全端末の更新を終える目安にできます。
-
4
不審なファイルを開いた人がいないか確認する
更新前に、見慣れない送信元のメッセージファイルを開いた人がいないかを、利用者への周知や問い合わせで確認します。該当者がいれば、パスワードの変更と、そのアカウントの認証ログの確認を進めます。プロキシやファイアウォールのログに、社外の見慣れない宛先への接続がないかも調べます。
背景
Outlookは、多くの企業でメールと予定表の窓口になっています。社内のWindows認証と結び付いて動くため、ユーザーのNTLMv2ハッシュが外に渡ると、そのユーザーとして社内の資源に認証を受けられる可能性があります。今回の脆弱性は、メッセージファイルを開いたときにOutlookが警告なしで外部へ接続してしまう点に特徴があります。
OutlookからNTLMハッシュが外部に渡る問題は、2023年にも予定表の通知を使う脆弱性（CVE-2023-23397）が悪用されました。今回の問題は、受け取ったファイルを開く操作が前提になっています。
よくある質問
Q.一覧にないOutlookは影響を受けますか。
まだ分かっていないこと
- 実際の攻撃の規模、標的、攻撃者は公表されていません。
- ランサムウェア攻撃での利用の有無は不明とされています。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftMicrosoft 365 Apps for Enterprise |
16.0.1 以上 https://aka.ms/OfficeSecurityReleases 未満→ https://aka.ms/OfficeSecurityReleases |
https://aka.ms/OfficeSecurityReleases |
| MicrosoftMicrosoft Office LTSC 2021 |
16.0.1 以上 16.0.14334.21048 未満→ 16.0.14334.21048 |
16.0.14334.21048 |
| MicrosoftMicrosoft Office LTSC 2024 |
16.0.0 以上 16.0.17932.21140 未満→ 16.0.17932.21140 |
16.0.17932.21140 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Product ui does not warn user of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory CISA KEV
同じ話題を、ほかのメディアでも
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web cisa.gov
- web github.com