CVE-2026-124194: Microsoft Outlook ゼロデイが悪用されてNTLMハッシュを盗む

Microsoftは、特別に細工されたメッセージファイルを開いたときにユーザーのNTLMv2認証情報が漏洩する可能性のある、Microsoft Outlookの積極的に悪用されているゼロデイ脆弱性CVE-2026-124194を修正しました。Microsoftはこの問題をスプーフィングの脆弱性として分類し、CVSS 3.1スコアの6.5で中程度に評価しています。

この脆弱性は、認証されていないリモート攻撃者が悪意のあるメッセージファイルを送信し、それを被害者に開かせることを可能にします。その後、Outlookは通常期待される外部コンテンツ警告を表示せずに、攻撃者が制御するネットワーク位置に接続する可能性があります。この接続中に、WindowsはNTLMv2認証情報を漏洩する可能性があり、それが潜在的に悪用されて被害者になりすますことができるかもしれません。

営業部へのお問い合わせ

Microsoftは、CVE-2026-124194がすでに攻撃において悪用されていることを確認しました。しかし、同社は関与する脅威アクター、キャンペーンの規模、被害企業、配信インフラストラクチャ、または盗まれた認証情報がその後の横方向移動やアカウント妥協に使用されたかどうかを開示していません。

この欠陥は、2026年11月10日のMicrosoftの2026年11月の「Patch Tuesday」リリースの一部として対応されました。影響を受けた製品には、Microsoft 365 Apps for Enterprise、Microsoft Office LTSC 2021、およびMicrosoft Office LTSC 2024の32ビットおよびx64システムが含まれます。

CISAは、2026年11月10日にその既知の脆弱性のカタログにこの脆弱性を追加し、積極的な悪用の証拠を確認し、2026年11月24日を合衆国連邦機関の適用可能な対応期限として確立しました。

セキュリティチームは、SOC PrimeのAIネイティブの検知インテリジェンスプラットフォームを使用して、脅威インテリジェンスを運用し、疑わしいOutlookおよびNTLM活動を特定し、SIEM、EDR、XDR、データレイク環境全体での検知エンジニアリングおよび脅威ハンティングを加速できます。

CVE-2026-124194を検出するには、Outlook活動を予期しない外向けのSMB接続、外部システムへのNTLM認証試行、不審なメッセージファイル実行、およびそれに続く資格情報またはアイデンティティの悪用と相関させてください。

検知コンテンツはすべてのCVEに対して利用可能ではない場合があります。SOC Prime Platformで最新のカバレッジを確認してください。関連する検出がまだ利用できない場合は、新しい脅威インテリジェンスと検知コンテンツが継続的に追加されているため、再度確認してください。

CVE-2026-124194の分析

CVE-2026-124194は、Microsoft 365 Apps for Enterprise、Microsoft Office LTSC 2021、およびMicrosoft Office LTSC 2024に影響します。Microsoftはこの欠陥をリモートアクセス可能性（AV:N）、攻撃の複雑性が低い（AC:L）、攻撃者の権限を必要としない（PR:N）、ユーザーのインタラクションが必要（UI:R）、機密性に高い影響がある（C:H）、整合性（I:N）、可用性（A:N）に影響しないとし、CVSS 3.1スコアを6.5に設定しています。

この脆弱性はCWE-356として分類され、製品UIがユーザーに安全でない操作の警告を表示しないことに関連します。実際には、Outlookが通常ユーザーに警告しておくべき警告を表示せずに、潜在的に危険な外部コンテンツにアクセスすることが可能です。

この攻撃は、ターゲットに届けられた特別に細工されたOutlookメッセージファイルから始まります。攻撃者は被害者のシステムまたはMicrosoft 365テナントにアカウントを持つ必要はありませんが、被害者が悪意のあるファイルを開く必要があります。Microsoftは、プレビューペインが攻撃ベクトルではないことを特に明記しており、Outlookのプレビューインターフェースにメッセージを表示するだけでは攻撃が成立しません。

ファイルが開かれると、Outlookは通常の外部コンテンツ警告を表示せずに、攻撃者が制御するネットワーク位置に接続する可能性があります。

これは重要です。なぜならば、Windows環境はリモートリソースにアクセスする際に自動的にNTLM認証を試みることがあるからです。結果的に生じるチャレンジ-レスポンスのやり取りで、ユーザーのNTLMv2認証ハッシュがリモートサーバーに漏れる可能性があります。

NTLMv2ハッシュはユーザーの平文のパスワードではありません。しかし、認証情報を取得することで、環境や攻撃者の能力に応じていくつかの追随するリスクが生じます。BleepingComputerは、取得したハッシュがオフラインでのパスワード解読の対象になる可能性があると指摘し、Microsoftの勧告では漏えいした認証情報が被害者として認証されるために利用される可能性があることを警告しています。

これは、ファイル共有、レガシーアプリケーション、リモートリソース、内部認証ワークフローのためにNTLMに大きく依存している企業環境にとって特に関連性の高い脆弱性です。

積極的に悪用されているゼロデイに対してCVSSスコアが6.5というのは、一見すると比較的控えめに見えるかもしれません。このスコアは、悪用にはユーザーのインタラクションが必要であり、主に機密性に影響することを反映しています。直接的にコードの実行を引き起こしたり、整合性の喪失やサービス妨害をもたらしたりはしません。

それでも、オペレーショナルリスクは大幅に高いです。なぜなら、Microsoftはすでに悪用を確認しており、CISAは独立してこの欠陥をKEVに追加しているからです。したがって、セキュリティチームはCVSSのみだけでなく、悪用ステータスを重視して修正の緊急性を判断すべきです。

CVEレコードは、影響を受けたバージョンと修正されたバージョンを次のように示しています：

製品	影響を受けたバージョン	修正されたバージョン
Microsoft 365 Apps for Enterprise	適用可能な11月のセキュリティアップデートより前の脆弱なリリース	最新のOfficeセキュリティリリース
Microsoft Office LTSC 2021	16.0.14334.21048より前	16.0.14334.21048
Microsoft Office LTSC 2024	16.0.17932.21140より前	16.0.17932.21140

32ビットとx64の両方のインストールに影響があります。Microsoft 365 Appsを使用している組織は、各サービングチャネルによってビルド番号が異なるため、MicrosoftのOfficeセキュリティリリース情報に頼るべきです。

Microsoftは2026年11月10日にCVE-2026-124194を公開し、Patch Tuesdayを通じて対応するセキュリティアップデートをリリースしました。この脆弱性は修正が利用可能になる前には公にされませんでした。

Microsoftは「nono」というモニカを使用する研究者と、AnthropicのClaude AIモデルの利用について言及しているBenoît Sevensというセキュリティ研究者に感謝の意を示しています。公開されたソースには、脆弱性が非公開で発見された正確な日付や、Microsoftに最初に報告された日付についての詳細は記載されていません。

CVE-2026-124194のPoCの風景は、確認された悪用のステータスほど重要ではありません。Microsoftと提供された2つのレポートは、パブリックエクスプロイトコードや詳細な再現手順を提供していません。いくつかのサードパーティのエクスプロイト集約者は、新たに公開された概念実証資料について矛盾する信号を発しているため、防御者はリスクを評価する際にパブリックPoCの提供に依存すべきではありません。MicrosoftとCISAによって独立して確認された積極的な悪用がすでに確立されています。

CVE-2026-124194の検知には、エンドポイントとネットワーク活動を一緒に監視する必要があります。特に価値のあるシグナルは、ユーザーがOutlookメッセージファイルを開いた後、OUTLOOK.EXEが外部または以前見られなかった宛先に向かってSMBトラフィックを発生させることです。

外向きのTCPポート445トラフィックは特に注意を要します。Microsoftは、内部のデバイスが外部ホストに直接SMBデータを送信するのを防ぐことができるため、一般的なディフェンスインデプスの制御としてインターネットへの外向きのSMBトラフィックをブロックすることを推奨しています。

セキュリティチームはまた、アプリケーションとサービスログ/Microsoft/Windows/NTLMの下にあるMicrosoftのNTLM Operationalログを見直し、外出するNTLM認証を監査することができます。Microsoftはリモートサーバーへの外出するNTLMトラフィックを監査または拒否するために特に設計されたポリシーを提供しています。

有用な行動ベースのハンティングのピボットには以下が含まれます：

• Outlookが予期しない外部のSMB接続を開始する。
• インターネット宛先へのNTLM認証試行。
• 疑わしいOutlook活動の直後に内部サービスへの認証が成功する。
• 異常な外部ネットワーク接続に関連するメッセージファイル活動。
• 同一の侵害されたアイデンティティを用いた認証試行の繰り返し。
• ユーザーの通常の活動と一致しないシステムまたはIPアドレスからの新規ログオン。

防御者は、すべての外向きのSMBまたはNTLM接続を悪用の証拠として扱うことを避けるべきです。両方の技術は依然として企業環境内で合法的に存在することができます。最も強力な検出は、Outlookの活動、宛先の評判、ユーザーのインタラクション、NTLMのテレメトリー、後続の認証行動を相関させることになります。

Microsoftは、確認された攻撃に関連する悪意のあるIPアドレス、ドメイン、添付ファイルのハッシュ、送信者アドレス、またはファイル名のようなキャンペーン固有のCVE-2026-124194 IOCを公開していません。攻撃者の身元およびそのターゲットも未公開のままです。

これは、現在、組織が静的なIOCマッチングよりも、行動ベースのハンティングを優先する必要があることを意味します。

CVE-2026-124194の緩和策

主要な対応策は、Microsoftの2026年11月のOfficeセキュリティアップデートを直ちにインストールすることです。

Office LTSC 2021のインストールはビルド16.0.14334.21048以上に更新する必要があり、Office LTSC 2024のインストールはビルド16.0.17932.21140以上を実行する必要があります。Microsoft 365 Apps for Enterpriseのユーザーは、サービングチャネルが対応する現在のセキュリティリリースを受信していることを確認する必要があります。

攻撃がすでに発生しているため、組織は自動Officeアップデートがすべてのデバイスに到達していると仮定するのではなく、配布が成功していることを確認すべきです。

管理者は次のアクションを取るべきです：

1. 管理されているエンドポイント全体でMicrosoft Outlookのインストールを調査する。
2. Microsoft 365 Apps、Office LTSC 2021、およびOffice LTSC 2024システムで11月のセキュリティアップデートを受信していないものを特定する。
3. 修正ビルドを直ちに展開し、インストールを確認する。
4. 攻撃がアクティブな間に脆弱なままだったエンドポイントを見直す。
5. インターネットへの不要な外向きのSMBトラフィックをブロックする。
6. 外向きのNTLM認証を監査し、可能な限りNTLMの使用を削減する。
7. 異常なOutlookからネットワークへの活動や予期しない認証試行を調査する。
8. ユーザーに、信頼できない送信元からの未承諾のOutlookメッセージファイルや添付ファイルを開かないように教育する。

TCPポート445上での外向きのSMBをブロックすることは、重要な追加保護レイヤーを提供します。Microsoftは、特定のオペレーション要件がない限り、SMBトラフィックが企業ネットワークを離れるのを防ぐことを明示的に推奨しています。

組織はまた、NTLMを制限することを検討するべきです。Windowsは以下のポリシーを提供しています： ネットワークセキュリティ: NTLMの制限: リモートサーバーへの外向きNTLMトラフィック このポリシーは、管理者が認証のブロックを開始する前に依存関係を特定するために、監査モードで最初に構成することができます。

全社的に突然NTLMを無効にすることは、レガシーアプリケーションやワークフローを破壊する可能性があります。したがって、組織は使用状況を監査し、正当な依存関係を特定し、必要な例外を実装し、認証をKerberosや他のより強力なメカニズムに段階的に移行する必要があります。

疑わしい侵害が特定された場合、単に更新をインストールするだけでは、事件を解決するのに不十分です。

セキュリティチームは影響を受けたアイデンティティを特定し、疑わしいメッセージファイルが開かれた後に発生した認証活動を見直すべきです。異常なSMB接続、リモートログオン、横方向移動、ファイル共有へのアクセス、VPN認証、クラウドへのサインイン、および影響を受けた資格情報を受け入れる他のサービスを探してください。

認証情報が漏洩または不正使用された証拠がある場合、関連するパスワードをリセットし、組織のアイデンティティレスポンス手順に従ってアクティブセッションを無効にします。影響を受けたアカウントでアクセス可能な他の特権資格情報も調査する必要があります。

エンドポイント、プロキシ、ファイアウォール、メール、EDR、およびアイデンティティログは、侵害の疑いがある場合に修正前に保存されるべきです。これらのソースを相関させることで、フィッシング配信からNTLMの開示、可能なその後の認証までのシーケンスを再構築するのに役立ちます。

CISAは11月10日にこの脆弱性をKEVに追加し、適用のある連邦機関に2026年11月24日までに処理するよう求めています。CISAは既知のランサムウェアキャンペーンの利用を不明としています。