独立行政法人情報処理推進機構（IPA）は2026年11月11日、Microsoft製品の脆弱性対策について発表した。同日（日本時間）に公表されたセキュリティ更新プログラムが対象で、至急の適用を呼びかけている。
とくに注意が必要なのは、CVE-2026-124194である。Microsoftは、この脆弱性について悪用の事実を確認済みと公表している。
IPAが示した内容
IPAによると、これらの脆弱性が悪用された場合、アプリケーションが異常終了したり、攻撃者にパソコンを制御されたりするなど、さまざまな被害が起こるおそれがある。そのうちCVE-2026-124194は悪用が確認されており、今後被害が拡大するおそれがあるとして、至急の更新を求めている。
参考情報として、Microsoft社の「2026年11月のセキュリティ更新プログラム」のほか、「CVE-2026-124194 - Microsoft Outlook のなりすましの脆弱性」のページが挙げられている。また、米CISAの悪用が確認された脆弱性カタログも参照先に含まれている。
なお、IPAのページには、影響を受ける具体的なバージョンや攻撃の手口、深刻度の数値は書かれていない。詳細はMicrosoft社の情報で確認する必要がある。
対策は「更新プログラムの適用」
IPAが示す対策は、セキュリティ更新プログラムの適用である。通常、更新はWindows Updateを通じて自動的にダウンロード・インストールされる。更新の適用には、再起動が必要になることがある。
更新管理を行っている組織については、Microsoft社のセキュリティ更新プログラムの情報を参照のうえ、早期に展開するよう求めている。個別のシステムや環境に関する質問は、IPAでは回答できない場合があるため、製品ベンダーに問い合わせるよう案内されている。IPAは、追記すべき情報があれば、このページを更新するとしている。
日本企業への示唆
情シス部門にとって優先すべきは、悪用確認済みのOutlook脆弱性が、社内の端末に適用済みかどうかの確認である。自動更新に任せている端末と、更新管理で配布を止めている端末が混在している企業は、後者の展開状況を先に確認したい。
もう1つは、再起動待ちの端末である。更新は再起動が必要になる場合があるため、配布済みでも適用が完了していない端末が残っていないか、管理ツールで把握しておきたい。在宅勤務やテレワークの端末も、対象に含めて確認する必要がある。
また、更新管理の体制そのものを見直す機会にもなる。端末の台帳とパッチ適用状況を結び付けて見られるかどうかで、緊急時の対応速度が変わる。
ITトレンドでIT資産管理についてチェック！[IT資産管理ツール20選比較！タイプ別おすすめとランキングも紹介]
脆弱性の修正情報はこちらもチェック！[Gitが脆弱性6件を修正、Git 2.56.1を公開——再帰的クローンでのコード実行も]
まとめ
IPAは、2026年11月のMicrosoft製品の更新プログラムについて、至急の適用を呼びかけた。Outlookの脆弱性CVE-2026-124194は、悪用がすでに確認されている。
自動更新の対象外の端末と、再起動待ちの端末を、先に洗い出したい。詳細な影響範囲は、Microsoft社の公式情報で確認してほしい。
