CVE-2026-124194: Microsoft Office Outlook 潜在的に危険なアクション用のユーザー操作がない脆弱性

Microsoftのセキュリティアドバイザリによると、CVE-2026-124194の欠陥は、認証されていない攻撃者が特別に細工されたメッセージファイルを送信し、ユーザーをMicrosoft Outlookの影響を受けたバージョンで開くように説得することを可能にする。[2]Microsoftは、ファイルを開くとOutlookが通常の外部コンテンツ警告を表示せずに攻撃者が制御するネットワークの場所に接続する可能性があり[2]、攻撃者がユーザーになりすますことを可能にするログインデータが公開される可能性があると述べている。Microsoftはまたプレビューペインは攻撃ベクトルではないと述べている。[2]SOC Primeは、この欠陥がNTLMv2認証データを公開し、資格情報窃取とアカウントなりすましを可能にすることができると報告している。[3]また、MicrosoftがCVSS 3.1スコア6.5で中程度と評価していると報告している。[3]SOC Primeによると、このバグはMicrosoft 365 Apps for Enterprise、Microsoft Office LTSC 2021、およびMicrosoft Office LTSC 2024に影響を与える。[3]Shattered.ioは、このリリースが11月10日に1,094個のCVEを修正したと報告しており[4]、このリリースの唯一の悪用されたゼロデイであったと述べている。[4] Shattered.ioはまた、MicrosoftがOutlookを攻撃しているのが誰なのか、攻撃がいつ始まったのか、またはどの程度広がっているのかを明らかにしていないことに言及している。[4]Action1のJack Bicer氏はDEV Communityで引用され、次のように述べている。「メールはどの企業への最も簡単な入口であり、この欠陥は開かれた1つのファイルを盗まれた身元に変える。」[5]WindowsForumによると、Splashtopは、この修正がMicrosoft 365 AppsおよびOffice LTSC 2021および2024のセキュリティ更新プログラムに含まれており、Windows累積更新プログラムには含まれていないと報告している。[4].