Microsoft の11月の更新：Outlook の脆弱性はすでに悪用。社内のパソコンとサーバーで、今日確かめること
2026年11月11日（日本時間）、Microsoft が11月の月例のセキュリティ更新を公開しました。このうち Outlook のなりすましの脆弱性は、すでに悪用が確認されています。細工されたメッセージファイルを開くと、警告が出ないまま攻撃者のサーバーにつながり、認証情報が漏れるおそれがあります。総務・経理の担当者が毎日使うメールが入口になる話なので、今日のうちに更新を確かめてください。
この記事でわかること
- 11月の月例更新で、悪用が確認された Outlook の脆弱性の中身
- 自社が関係するかの見分け方（Windows 10・サーバー・更新を止めている会社）
- 今日やることと、保守会社に聞くこと
こんな方に
- 社内のパソコンやサーバーの管理を、総務や経理と兼任で任されている方
先に結論
社内のパソコンで Windows Update と Office の更新が入り、再起動まで済んでいるかを確かめます。更新を止めている会社や、サポートが終わった Windows 10 を使っている会社は、今回の修正が届いていない可能性があります。社内のサーバー（Exchange・SharePoint・Windows Server）は、保守会社に適用の予定を確かめます。
2026年11月12日時点の情報です。料金や制度は変わることがあるため、本文の公式の資料へのリンクで最新の内容を確かめてください。
2026年11月11日（日本時間）、Microsoft が11月の月例のセキュリティ更新を公開しました。毎月第2火曜日（米国時間）に出る定例の更新ですが、今回はすでに悪用が確認された脆弱性が含まれています。IPA（情報処理推進機構）は、至急、更新を適用するよう呼びかけています。
何が変わったか
| 項目 | 内容 |
|---|---|
| 公開日 | 2026年11月11日（日本時間）。米国時間では11月10日 |
| 悪用が確認された脆弱性 | Microsoft Outlook のなりすましの脆弱性（CVE-2026-124194） |
| 起きること | 細工されたメッセージファイルを Outlook で開くと、通常表示される警告が出ないまま、攻撃者の管理するサーバーに接続し、認証情報が漏えいするおそれ |
| 対象の製品 | Windows、Windows Server、Office、Exchange Server、SharePoint、SQL Server、.NET など |
| 公的機関の呼びかけ | IPA：至急、セキュリティ更新プログラムを適用する。JPCERT/CC：注意喚起（JPCERT-AT-2026-0035）を公開 |
| 次の定例の更新 | 2026年12月8日（米国時間）。日本時間では12月9日 |
悪用された場合の起き方は、JPCERT/CC の注意喚起の説明によります。IPA は「Microsoft 製品の脆弱性対策について(2026年11月)」で、悪用の事実が確認され、今後被害が拡大するおそれがあるとしています。
今回のポイントは、入口がメールだという点です。取引先や問い合わせから届いたファイルを開くのは、総務・経理の担当者の毎日の仕事です。認証情報が漏れると、メールだけでなく、同じ ID とパスワードで入れるほかの業務システムにも入られるおそれがあります。
自社が関係するかの見分け方
Outlook と Windows を使っている会社は、ほぼすべて関係します。そのうえで、次の表で「修正が届いていないかもしれない所」を探します。
| 当てはまるか | 何が起きているか | やること |
|---|---|---|
| パソコンの更新を自動にしている | 多くは自動で更新される。ただし再起動まで終わらないことがある | 再起動まで済んでいるかを確かめる |
| 更新を一時停止している、会社の決まりで配信を止めている | 今回の修正が届いていない | 止めている理由を確かめ、早めに配信する |
| Windows 10 のパソコンがある | サポートは2025年10月14日に終了。延長セキュリティ更新（ESU）を契約していなければ、修正は届かない | 台数を数え、ESU か入れ替えを決める |
| 社内に Exchange Server・SharePoint・Windows Server がある | サーバーは自動では更新されないことが多い | 保守会社か担当者に、適用の予定を確かめる |
| Microsoft 365（クラウド）のメールだけを使っている | サーバー側は Microsoft が更新する。パソコンの Outlook は各自の更新が要る | パソコンの Office の更新を確かめる |
Windows Server 2016 は、延長サポートが2027年1月12日まで続くので、今回の修正は届きます。ただし、それまでに次の手を決めておく必要があります。部品のサポートの期限の確かめ方は、「古いシステムを延命すると決めたら」で書きました。
今日やること
- パソコンの更新を確かめる：設定の「Windows Update」で、11月の更新が入り、「再起動が必要です」が残っていないかを見る。社内の何台かで確かめる
- Office の更新を確かめる：Outlook の「ファイル」→「Office アカウント」で、更新の状態を見る
- 見慣れないメッセージファイルを開かない：更新が終わるまでは、心当たりのない添付ファイル（特に、メールの中にさらにメールのファイルが添付されているもの）を開かないよう、社内に一言伝える
- サーバーの予定を聞く：社内に置いたサーバーがあれば、保守会社か担当者に適用の予定を聞く
- Windows 10 の台数を数える：ESU の契約の有無も一緒に確かめる
保守会社に聞くこと
社内のサーバーや、パソコンの更新の管理を保守会社に任せている場合は、次の3つを聞いておくと安心です。
- 11月の月例更新を、いつ、どの機器に適用するか（悪用が確認された Outlook の脆弱性への対応を含めて）
- 更新を止めている機器があれば、その理由と、いつ適用するか
- サポートが終わった OS や製品が社内に残っていないか
重大な脆弱性のたびに慌てないための、平時の準備は「PHPの重大な脆弱性はその後どうなったか」の「平時に決めておく5つのこと」にまとめています。PHP の話ですが、使っているソフトと版の一覧、更新の担当と費用の決め方は、Microsoft の製品でも同じです。
そのほかの動き
- PostgreSQL 14 の最後の更新：PostgreSQL の公式の予定では、2026年11月12日の定例の更新が、14 系の最後の更新です（PostgreSQL のバージョンの方針）。これより後は、14 系にセキュリティの修正が出ません。社内のシステムで PostgreSQL 14 を使っているかを確かめてください。リリースの中身は、公開を確かめてから書きます。
- PHP 8.2 のサポート終了まで約7週間：PHP 8.2 のセキュリティの修正は2026年12月31日に終わります（PHP）。進め方は「PHP 8.2 のサポート終了までにやること」で書きました。
- デジタル化・AI導入補助金の締切：通常枠などの締切は2026年12月1日（火）17:00です（デジタル化・AI導入補助金 スケジュール）。
クリーヴァに相談するとき
社内のパソコンやサーバーの更新を誰が受け持っているか分からない、保守会社との取り決めがない、といった場合は、まず使っているソフトと版の一覧を作るところからお手伝いします。
出典（2026年11月12日に確認）
- IPA「Microsoft 製品の脆弱性対策について(2026年11月)」（2026年11月11日）
- JPCERT/CC「2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起」（JPCERT-AT-2026-0035、2026年11月11日）
- Microsoft「2026 年 11 月のセキュリティ更新プログラム (月例)」
- PostgreSQL「Versioning Policy」、PHP「Supported Versions」、中小企業基盤整備機構「デジタル化・AI導入補助金 スケジュール」
よくある質問
悪用されているのは、どの脆弱性ですか？
Microsoft Outlook のなりすましの脆弱性（CVE-2026-124194）です。JPCERT/CC によると、細工されたメッセージファイルを Outlook で開くと、通常表示される警告が出ないまま攻撃者の管理するサーバーに接続し、認証情報が漏えいするおそれがあります。
自動更新にしていれば、何もしなくてよいですか？
多くのパソコンは Windows Update で自動的に更新されますが、再起動するまで更新が終わらないことがあります。更新を一時停止している、会社の決まりで更新の配信を止めている、といった場合は届いていません。今日のうちに、更新の状態と再起動を確かめてください。
Windows 10 のパソコンは大丈夫ですか？
Windows 10 のサポートは2025年10月14日に終わっています。延長セキュリティ更新（ESU）を契約していないパソコンには、今回のような修正は届きません。台数を数え、更新か入れ替えの計画を立ててください。
NEWSLETTER
