Microsoft脆弱性対策｜11月のOutlook悪用と更新

公開日2026年11月13日
約10分で読めます

目次8

2026年11月11日（日本時間）、Microsoft社は毎月の定例のセキュリティ更新プログラムを公開しました。Windows、Office、Exchange Server、SQL Serverなど、Microsoft製品の脆弱性1,094件が対象です。このうちOutlookの脆弱性1件（CVE-2026-124194）は、すでに攻撃に使われていることが確認されています。

IPA（情報処理推進機構）とJPCERT/CCも同じ日に注意喚起を出し、早めの更新を呼びかけています。この記事では、今月まず確かめたい点、製品ごとの更新プログラムの番号、社内のパソコンとサーバーを更新する手順をまとめます。

この記事のポイント

Outlookで、細工されたファイルを開くと、パスワードの代わりになる情報（NTLMのハッシュ）が攻撃者に送られるおそれがあります。悪用が確認されています。
サーバーでは、ログインなしで攻撃できるLDAP、Windows Search（Exchange経由）などの脆弱性が直されています。
Windowsは製品ごとに更新プログラム（KB）の番号と、更新後のビルド番号で、適用ずみかを確かめられます。
Windows 10、Office 2016・2019、Exchange 2016・2019は、2025年10月にサポートが終わっています。

1,094件

Microsoft製品の脆弱性（MSRCのリリースノート）

1件

悪用が確認された脆弱性（Outlook）

64件

深刻度「緊急」（Microsoftの公開データから当社で集計）

ことばの説明

定例のセキュリティ更新＝Microsoft社が毎月第2火曜日（米国時間）に出す修正です。日本では水曜日になります。

KB（ケービー）＝更新プログラムにつけられた番号です。「KB5132061」のように表されます。

NTLM（エヌティーエルエム）＝Windowsでログインを確かめる古い仕組みです。その「ハッシュ」が盗まれると、本人になりすまされるおそれがあります。

KEV＝米国CISAが公開している「実際に悪用が確認された脆弱性」の一覧です。

悪用が確認されたOutlookの脆弱性

Microsoft社の説明では、CVE-2026-124194は次のような問題です。攻撃者が細工したメッセージのファイルを送り、利用者がOutlookで開くと、Outlookが攻撃者の用意したサーバーに、いつもの警告を出さずに接続してしまいます。そのとき、利用者のNTLMv2のハッシュが攻撃者に渡り、本人になりすましてログインに使われるおそれがあります。

深刻度は「警告」、CVSSは6.5です。数字は高くありませんが、実際の攻撃が確認されています。
利用者がファイルを開くことが必要です。Microsoft社は、プレビューウィンドウで表示しただけでは攻撃されないとしています。
米国CISAは11月10日にKEVに追加し、米国の連邦機関に11月24日までの対応を求めています。

製品	修正されたビルド
Microsoft 365 Apps（法人向け）	各更新チャネルの最新版（Microsoft社のOfficeのセキュリティ更新の一覧で確認）
Office LTSC 2024	16.0.17932.21140
Office LTSC 2021	16.0.14334.21048

悪用の状況（2026年11月13日時点）

Microsoft社は「悪用を確認」としていますが、攻撃の規模や、だれが狙われたかは公表していません。日本での被害についての公式情報は見つかりませんでした。今月の脆弱性で、事前に内容が公開されていたもの（一般公開）はありません。

更新とあわせて、一般的には次のような対策も効果があります。これはMicrosoft社がこの脆弱性について示したものではなく、NTLMのハッシュを盗む攻撃への一般的な備えです。

社外へのファイル共有の通信（SMB、TCP 445番）を、ファイアウォールで止める
見覚えのない添付ファイルやメッセージのファイルを開かないよう、社内に呼びかける
管理者のアカウントでは、ふだんのメールを読まない

サーバーで優先したい脆弱性

悪用はまだ確認されていませんが、ログインなしで攻撃できるものや、Microsoft社が「悪用される可能性が高い」とするものを選びました。

脆弱性	対象	CVSS	ポイント
CVE-2026-119958	Windows LDAP（Active Directoryなど）	9.8	ログイン不要細工したLDAPの通信で、コードを実行されるおそれ
CVE-2026-116928	Windows Search（Exchange Serverが使うもの）	9.8	ログイン不要細工した添付ファイルのメールを送るだけで攻撃できる。受け取った人が開く必要はない
CVE-2026-119952	Schannel（暗号化通信の部品）	8.1	ログイン不要悪用される可能性が高い
CVE-2026-118207	Exchange Server	8.8	一般ユーザーの権限悪用される可能性が高い
CVE-2026-118146	Active Directory ドメインサービス	8.8	一般ユーザーの権限悪用される可能性が高い
CVE-2026-119961	IIS（Webサーバー）	8.1	Webサイトを公開しているサーバーは確認を

※Outlookでは、プレビューウィンドウからでも攻撃できるコード実行の脆弱性（CVE-2026-110043など）も直されています。

製品ごとの更新プログラム（KB）

Microsoft社の公開データで確かめた、主な製品の更新プログラムと、更新後のビルド番号です。winver コマンドで表示されるビルドがこの番号かそれより新しければ、適用ずみです。

製品	KB	更新後のビルド
Windows 11 24H2 / 25H2	KB5132061	26100.9974 / 26200.9974
Windows Server 2025	KB5131080	26100.33822
Windows Server 2022	KB5131090	20348.5870
Windows Server 2019	KB5131085	17763.9487
Windows Server 2016	KB5131291	14393.9688
Windows 10 22H2（延長セキュリティ更新の契約がある場合）	KB5131096	19045.7846
Exchange Server Subscription Edition	KB5133453	15.02.2562.057
SQL Server 2025 / 2022	KB5129299 / KB5129300	CU10 / CU27 の修正版

※Windows Server 2025には、再起動の回数を減らす「ホットパッチ」の版もあります。SQL Serverは、使っている更新の系統（CUかGDRか）で入れるものが変わります。

対応する5ステップ

パソコンとサーバーを一覧にする
Windowsの版、Officeの種類、Exchange ServerやSQL Serverの有無を整理します。Windows UpdateやIntune、WSUSで配っている場合は、配信の状況も確かめます。
Outlookを使うパソコンを先に更新する
悪用が確認されているため、Officeの更新を急ぎます。Microsoft 365 Appsは、自動更新が止まっていないかも確かめます。
インターネットに面したサーバーを更新する
Exchange Server、IIS、ドメインコントローラーを優先します。テスト用の環境があれば、先に入れて動きを確かめます。
再起動する
IPAは、更新のあと再起動が必要な場合があるとしています。再起動を後回しにすると、修正が効いていない状態が続きます。
適用できたかを確かめる
上の表のビルド番号と見比べます。入らなかった機器は、原因を調べて手で入れます。

サポートが終わった製品に注意

次の製品は、2025年10月14日にサポートが終わっています。今月の更新が出ない、または有償の延長契約が必要です。

製品	状況
Windows 10	サポート終了延長セキュリティ更新（ESU）の契約がある場合だけ更新が出る
Office 2016 / 2019	サポート終了今月のOutlookの修正の対象一覧に入っていない
Exchange Server 2016 / 2019	サポート終了今月の対象一覧はSubscription Editionのみ