11月11日、IPAが「悪用済み」と名指ししたのはWindowsではなくOutlookでした。Windows Updateだけでは直っていないことがあります。
IPAが2026年11月11日に出した「Microsoft 製品の脆弱性対策について(2026年11月)」で、悪用の事実が確認済みと名指しされたのは1件、CVE-2026-124194です。参考情報の見出しは「Microsoft Outlook のなりすましの脆弱性」。Windows本体ではなく、メールソフトの弱点です。ここで気をつけたいのが、Officeの更新はWindows Updateと同じ経路とは限らない、という点です。「Windows Updateは済んでいます」と答えられる受付のパソコンでも、Outlookのほうは直っていないことがあります。確認は設定画面を3回たどるだけで済みます。
11月の更新で、1件だけ扱いが違うものがありました
IPAは毎月、マイクロソフトの更新がまとまって出たあとに注意喚起を掲載しています。2026年11月11日付のページもその一つで、更新を適用しないと「アプリケーションプログラムが異常終了する」「攻撃者によってパソコンを制御される」といった被害が起こりうると書かれています。そのうえで、CVE-2026-124194という番号の脆弱性について、マイクロソフトが悪用の事実を確認済みと公表しているため至急の適用を、と名指しされています。ページの参考情報欄に並んでいるリンクの見出しは「CVE-2026-124194 - Microsoft Outlook のなりすましの脆弱性」です。なお、このIPAのページには対象製品やバージョンの一覧は載っていません。読み取れるのは「11月の更新に含まれている」「Outlookに関するものである」「すでに悪用されている」の3点です。
米国の政府機関向け一覧にも、11月10日に載りました
同じ番号は、米国CISAが公開している「悪用が確認された脆弱性カタログ」にも2026年11月10日付で追加されています。登録内容では、製品はMicrosoftのOffice、脆弱性の名前は「Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability」。本来なら利用者に確認を求めるべき場面で、それを求めないまま処理してしまう、という種類のものです。ランサムウェアへの使用が確認されているかは「不明」と記載されています。対応期限として2026年11月24日が入っていますが、これは米国の連邦政府機関に課されている期限であって、日本の医療機関に適用される締切ではありません。とはいえ、こうした一覧に載るのは実際に使われている証拠がある場合なので、後回しにしてよい話ではありません。
「Windows Updateは済んでいます」で安心できない理由
ここが今回いちばんお伝えしたいところです。Officeの更新プログラムは、Windows本体の更新とは別の仕組みで配られることがあります。マイクロソフトのサポートページ「Microsoft Update を使用して Office を更新する」は、Windowsの自動更新を有効にすると、ボリュームライセンス版のインストールを含む以前のバージョンのOfficeの更新プログラムも取得されると説明し、その設定をオンにする手順を示しています。Windows 11なら、「スタート」→「設定」→「Windows Update」→「詳細オプション」と進み、「Windows の更新時に他の Microsoft 製品の更新プログラムを受け取る」をオンにします。Windows 10では「スタート」→「設定」→「更新とセキュリティ」→「詳細オプション」の中に同じ項目があります。ここがオフのままだと、Windowsは最新なのにOfficeだけ取り残されている、という状態が起こりえます。受付と診察室のパソコンで、この1項目を見てください。
院内で決めておきたいこと
やることは3つだけです。ひとつ、上の設定を確認して、オフなら相談のうえオンにする。ふたつ、Windows Updateをもう一度実行して、Office関連の更新が出てこないか見る。みっつ、更新を保守業者に任せている場合は、「その対象にOfficeも入っていますか」と一度だけ聞く。ここが抜けている契約は珍しくありません。あわせて、受付の方への共有も。今回の脆弱性は差出人まわりに関わるものなので、メールの見た目が本物らしいからといって添付ファイルやリンクを開く判断材料にはしない、という基本を思い出すきっかけにしてください。心当たりのないメールは開かず、送信元に電話で確かめる。それだけで防げる場面があります。なお、この件でパソコンの初期化やメールソフトの入れ替えは必要ありません。設定を広く変えてしまうと、電子カルテやレセコンとの連携が止まることがあります。自院の更新がどこまで届いているか分からない、保守の範囲を整理したい、といったご相談は、アイジェイネットでも承っています。
出典・確認元
- IPA：Microsoft 製品の脆弱性対策について(2026年11月)（2026年11月11日掲載。同日に Microsoft 製品のセキュリティ更新プログラムが公表されたこと、悪用されるとアプリケーションプログラムが異常終了する・攻撃者によってパソコンを制御されるなどの被害が発生するおそれがあること、CVE-2026-124194 について Microsoft 社が悪用の事実を確認済みと公表しており至急の適用が求められていること、対策はセキュリティ更新プログラムの適用で通常は Windows Update により自動で行われ適用には再起動が必要になる場合があること、更新管理を行っている組織は Microsoft 社の情報を参照し早期に展開することが案内されていること、参考情報に「CVE-2026-124194 - Microsoft Outlook のなりすましの脆弱性」が挙げられていること、ページ内に対象製品・バージョンの一覧は掲載されていないことを2026年11月15日に確認） ↗
- CISA：Known Exploited Vulnerabilities Catalog（CVE-2026-124194 のエントリ。Vendor/Project が Microsoft、Product が Office、脆弱性名が Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability、Date Added が2026年11月10日、Required Action がベンダーの指示に従った緩和策の適用、Due Date が2026年11月24日、ランサムウェアキャンペーンでの使用が「Unknown」と記載されていることを2026年11月15日に確認） ↗
- マイクロソフト：Microsoft Update を使用して Office を更新する（Windows の自動更新を有効にすると Office のボリューム ライセンス版のインストールを含む以前のバージョンの Office の更新プログラムも取得されること、Windows 11 では「スタート」→「設定」→「Windows Update」→「詳細オプション」と進み「Windows の更新時に他の Microsoft 製品の更新プログラムを受け取る」をオンにすること、Windows 10 では「スタート」→「設定」→「更新とセキュリティ」→「詳細オプション」の更新オプション内に同じ項目があること、ほとんどの Office バージョンでは自動更新を有効にするか Office アプリ内から手動で更新を入手できることを2026年11月15日に確認） ↗
情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。
編集方針・訂正について自分の環境について相談する ↗