【緊急】Outlookの脆弱性で悪用確認｜更新を至急適用

IPA（情報処理推進機構）は2026年11月11日、Microsoft Outlookの脆弱性CVE-2026-124194（CVEは脆弱性につける共通の識別番号）が悪用されているとMicrosoftが確認したことを案内し、Windows Updateなどでセキュリティ更新プログラムを至急適用するよう呼びかけました。

細工されたメッセージファイルをOutlookで開くと、通常のセキュリティ警告が出ないまま攻撃者側のサーバーへ接続し、サインインに使う認証情報が漏れる可能性があります。対象の製品や版は、IPAとJPCERT/CC（JPCERTコーディネーションセンター。国内のセキュリティ情報の調整機関）の公開ページには書かれておらず、Microsoftの更新情報で確かめる必要があります。

本記事では、2026年11月12日時点で公表されている内容をもとに、今すぐ行う対応、経緯、脆弱性の内容、組織の担当者が確かめる点の順に整理します。問い合わせ先と確認先は、巻末の表のとおりです。

今すぐ確認・対応すること：セキュリティ更新プログラムの適用

Outlookを使っている人は、何をすればよいのでしょうか。IPAやJPCERT/CCの案内と、Microsoftの更新確認の手順をもとに整理した対応は、次の表のとおりです。

IPAは「至急、セキュリティ更新プログラムを適用してください」と呼びかけています。つまり、自動更新が有効な環境でも、更新の適用と再起動が済んでいるかを確かめることが、最初の対応になるのです。

細工されたメッセージファイルを開いた心当たりがある場合は、更新とは別に、社内の情報システム担当またはセキュリティの窓口へすぐに連絡し、組織の対応に従います。更新の適用は、今後の悪用を防ぐための対応で、すでに漏れた可能性のある認証情報を取り戻すものではないためです。

何が起きたか：悪用の確認と、国内の注意喚起

いつ、誰が、何を公表したのでしょうか。公表の流れは、次の表のとおりです。

CISAの2026年11月24日という期限は、米国の連邦機関に向けたものです。日本の事業者に向けては、IPAが至急の適用を呼びかけています。

脆弱性の内容：公式が示していること

どのような脆弱性なのでしょうか。JPCERT/CC、IPA、CISAが示している内容は、次の表のとおりです。

悪用の条件は、ユーザーが細工されたファイルを開くことです。対象になるOutlookの製品や版は、Microsoftの更新情報で確かめましょう。

組織の担当者が確かめること：更新の配布と適用の状況

会社として、何を点検すればよいのでしょうか。次の表は、公式が示した条件をもとに編集部が整理した点検項目です。

情報システム担当者が不在、またはPCの更新を従業員任せにしている会社では、確認する担当者を決めることが最初の一歩になります。外部のIT保守業者と契約している場合は、PCの更新管理が契約の範囲に入っているか、業者が把握している端末と、把握できていない端末がどれかを確かめましょう。契約の範囲外の端末は、自社で適用状況を確かめます。

まとめ：更新を適用し、対象の製品と版を確かめる

Outlookの脆弱性CVE-2026-124194は、Microsoftが悪用を確認しており、IPAが至急の更新適用を呼びかけています。2026年11月のセキュリティ更新プログラムを適用し、再起動が必要な場合は済ませましょう。

Windows版のクラシックOutlook（Microsoft 365 Apps）は、自分の更新チャネルの最新ビルドになっているかを［ファイル］→［Office アカウント］で確かめ、新しいOutlook、Mac版、Web版、買い切り版などは製品ごとのMicrosoftの更新情報に従います。組織の担当者は、Microsoftの更新情報で対象の製品と版を確かめ、PCへの適用状況を点検しましょう。

困ったときの連絡先と、出典と参照情報を、次の表にまとめます。