2026年11月10日（米国時間、日本時間11月11日）、Microsoftは11月の定例セキュリティ更新プログラム（Patch Tuesday）を公開しました。
今回の更新では、実際のサイバー攻撃で悪用が確認されているMicrosoft Outlookのゼロデイ脆弱性を含む、多数のセキュリティ問題が修正されています。
特に警戒が必要なのが、Microsoft Outlookにおけるなりすまし脆弱性（CVE-2026-124194）です。
攻撃者が細工したメッセージファイルを利用者に開かせることで、通常表示される外部コンテンツの警告を出さずに攻撃者のサーバーへ接続させ、Windowsの認証情報（NTLMv2認証応答）を窃取する恐れがあります。
さらに、Windows SearchにはCVSS 9.8の深刻なリモートコード実行脆弱性（CVE-2026-116928）が発見され、今回の月例パッチで修正されています。
同じ時期には、Google Chromeでも実際の攻撃で悪用されているゼロデイ脆弱性（CVE-2026-125350）を修正する緊急アップデートが公開されました。
本記事では、今回公表された脆弱性の危険性と仕組みを整理し、Windows OS、Microsoft Office（Outlook）、Google Chromeを最新化する具体的な手順を解説します。
この記事で行うこと
- 11月の月例パッチで修正された重要脆弱性（Outlookゼロデイ、Windows Search、Chrome）のリスクを把握する
- Windows Updateを実行してOS本体を最新化し、PCを再起動する
- Microsoft Office（Outlook）の手動アップデートを実行する
- Google Chromeをゼロデイ修正版（157.0.8103.50以降）へ更新する
- 攻撃の引き金となる不審なメッセージファイル（.msg）への警戒を徹底する
前提条件・対象環境
今回修正された脆弱性は、企業だけでなく個人利用のPCにも関係する問題です。
ただし、すべてのWindowsやOfficeのバージョンが無条件に対象となるわけではありません。特にWindows 10は通常サポートが終了しているため注意が必要です。
| 項目 | 対象となる環境 |
|---|---|
| Windows 11 | サポート対象の各バージョン |
| Windows 10 | ESU登録済みの対象環境、サポート期間内のLTSCなど |
| Windows Server | 対象となるサポート中の各エディション |
| Office製品 | Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024など |
| Chrome | Windows、macOS、Linux版 |
| 必要な権限 | Windows UpdateやOffice更新時に必要に応じて管理者権限 |
なお、Windows 10 Home / Proなどの通常サポートは2025年10月14日に終了しています。引き続きセキュリティ更新を受けるには、対象となるESUへの登録などが必要です。
Windows 10を利用している場合は、単にWindows Updateを実行するだけでなく、セキュリティ更新を受け取れる状態になっているか確認してください。
2026年11月月例パッチで警戒すべき3大脆弱性
今回のMicrosoftの月例セキュリティ更新では、複数の製品にわたる1,093件の脆弱性が修正されたとセキュリティ調査機関などが集計しています。
その中でも、特に優先して対処したい3つの脆弱性を紹介します。
1. Outlookのゼロデイ脆弱性（CVE-2026-124194）
今回の月例パッチで最優先の対処が求められるのが、Microsoft Outlookの脆弱性「CVE-2026-124194」です。
本脆弱性は、すでに実際のサイバー攻撃で悪用されており、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）の悪用確認済み脆弱性カタログ（KEV）にも追加されています。
Microsoftによる脆弱性の分類は「なりすまし（Spoofing）」です。
CVSS v3.1の評価は6.5（Medium）ですが、実際の悪用が確認されているため、数値だけで優先度を判断せず、速やかに更新する必要があります。
攻撃の手口と仕組み
攻撃者は、細工を施したメッセージファイル（.msg）をメール添付や共有リンクなどを通じて送りつけます。
利用者がそのファイルを影響を受けるOutlookで開くと、通常であれば表示される外部コンテンツに関する警告を出さずに、攻撃者が指定した外部サーバーへ自動的に通信を開始する可能性があります。
この通信を利用して、WindowsのNTLM認証情報が外部へ漏えいする恐れがあります。
認証情報（NTLMv2）の窃取
Windowsでは、ネットワーク上の認証にNTLMという仕組みが利用されることがあります。
攻撃者が管理するサーバーへ接続すると、Windowsが自動的に認証を試み、その過程でNTLMv2の認証応答が外部へ送信される可能性があります。
攻撃者は取得した情報を利用して、以下のような不正行為を試みる可能性があります。
- オフラインでのパスワード解析
- NTLM認証のリレー攻撃
- 取得した認証情報を利用した不正アクセス
ただし、NTLMv2の認証応答とPass-the-Hash攻撃で利用されるNTハッシュは同一ではありません。取得した情報がそのまま別のサービスへのログインに利用できるという意味ではない点にも注意が必要です。
発動条件の注意点
今回の脆弱性は、Outlookの閲覧ウィンドウ（プレビュー機能）でメールを表示しただけでは発動しないとされています。
攻撃者が細工したメッセージファイルを、利用者が明示的に開く操作を行うことが攻撃の条件です。
そのため、不審な送信者から届いたメッセージファイルを不用意に開かないことが重要です。
2. Windows Searchのリモートコード実行脆弱性（CVE-2026-116928）
Windows OS本体の脆弱性として深刻なのが、Windows Searchコンポーネントに存在するリモートコード実行（RCE）の脆弱性「CVE-2026-116928」です。
危険度の高さ（CVSS 9.8）
本脆弱性は、共通脆弱性評価システム（CVSS v3.1）において9.8（Critical）と評価されています。
脆弱性の概要は、Windows Searchコンポーネントにおけるメモリ領域外への書き込み（Out-of-bounds Write）です。
ネットワーク経由で攻撃できる可能性があり、評価上は認証や利用者の操作を必要としない深刻な脆弱性です。
悪用された場合、対象システム上で任意のコードを実行される恐れがあります。
対象環境と対策
Windows 10、Windows 11、Windows Serverなど、Microsoftが対象としている製品・バージョンに影響します。
ただし、Windows Searchの脆弱性が発見されたからといって、すべてのPCがインターネットから直接攻撃可能という意味ではありません。実際の到達可能性はネットワーク構成などにも左右されます。
現時点で今回の脆弱性について実悪用が確認されたという情報と、Outlookのゼロデイ脆弱性の情報は区別する必要があります。
対策としては、Windows Updateを実行し、該当する累積更新プログラムを適用してください。
3. Google Chromeの実悪用ゼロデイ（CVE-2026-125350）
Microsoftの月例パッチとほぼ同じタイミングで、Googleからも緊急のセキュリティアップデートが公開されました。
XML処理におけるUse-After-Free脆弱性
ChromeのXML処理コンポーネントに存在する、メモリ解放後使用（Use-After-Free）の脆弱性です。
Use-After-Freeとは、プログラムが使用を終えて解放したメモリ領域を、その後も誤って参照してしまう問題です。
攻撃者が細工したWebページを閲覧させることで、この脆弱性を悪用する可能性があります。
悪用された場合、ブラウザのクラッシュや、ブラウザのサンドボックス内でのコード実行につながる恐れがあります。
実際の攻撃での悪用確認
Googleは本脆弱性について、すでに実際の攻撃で悪用されていることを公式に認めています。
修正されたChromeのバージョンは以下の通りです。
| OS | 修正版 |
|---|---|
| Windows | 157.0.8103.50 / 157.0.8103.51 |
| macOS | 157.0.8103.50 / 157.0.8103.51 |
| Linux | 157.0.8103.50 |
アップデートは順次配信されるため、すぐに最新版が表示されない場合もあります。
WindowsやOfficeだけでなく、日常的に利用するブラウザも同時に最新化してください。
手順1：Windows Updateを実行してOSを最新化・再起動する
まずはWindows OS本体のセキュリティパッチ（Windows Searchの脆弱性対応を含む）を適用します。
手順の流れ
- キーボードの
Win + Iを同時に押して「設定」画面を開きます。 - 左側メニューから「Windows Update」を選択します（Windows 10の場合は「更新とセキュリティ」を選択）。
- 「更新プログラムのチェック」ボタンをクリックします。
- 利用可能な更新プログラムが表示されたら、ダウンロードとインストールを実行します。
- インストールが完了したら、表示される「今すぐ再起動する」などの案内に従ってPCを再起動します。
再起動の徹底が必要な理由
Windowsのセキュリティ更新では、システムファイルやドライバーなどの置き換えに再起動が必要となる場合があります。
更新プログラムのダウンロードとインストールが終わっていても、再起動が保留されている場合は更新処理が完了していない可能性があります。
作業中のファイルを保存し、再起動まで完了させてください。
なお、Windows 10の場合は、ESUへの登録状況や利用しているエディションによって更新の提供状況が異なります。
手順2：Microsoft Office（Outlook）の最新プログラムを手動適用する
Office製品（Microsoft 365やOffice LTSC 2021 / 2024など）は自動更新される仕組みがあります。
しかし、今回のようにOutlookのゼロデイ悪用が確認されている場合は、自動更新を待つだけでなく、手動で更新状況を確認しておくことをおすすめします。
手順の流れ
- Outlook（またはWord、Excel）を起動します。
- 画面左上の「ファイル」タブをクリックします。
- 左側メニューの下部にある「Office アカウント」（または「アカウント」）を選択します。
- 「製品情報」欄にある「更新オプション」ボタンをクリックします。
- メニューから「今すぐ更新」をクリックします。
- 更新プログラムの確認が始まり、最新パッチがダウンロード・適用されます。
「最新の状態です」と表示されたら、更新状況を確認できています。
OutlookなどのOfficeアプリが起動したままだと、更新の適用が待機状態になる場合があります。画面の指示に従ってアプリを終了し、更新を完了させてください。
なお、Officeの製品や更新チャネルによって配信タイミングは異なります。利用中の製品が今回の脆弱性の対象に含まれるか、Microsoftのセキュリティ情報も確認してください。
手順3：Google Chromeを最新版へ更新して再起動する
Google Chromeに存在するゼロデイ脆弱性（CVE-2026-125350）を解消するため、ブラウザを最新ビルドへアップデートします。
手順の流れ
- Google Chromeを起動します。
- 画面右上にある「3点リーダー（縦の3つの点）」アイコンをクリックします。
- 「ヘルプ」にカーソルを合わせ、「Google Chrome について」をクリックします。
- 自動的にバージョンの確認が行われ、更新が利用可能な場合はダウンロードが始まります。
- 更新が完了すると「再起動」ボタンが表示されるため、クリックしてブラウザを再起動します。
確認すべきバージョン番号
再起動後、バージョン表示が以下の番号以上になっていることを確認してください。
- Windows版は157.0.8103.50以降
- macOS版は157.0.8103.50以降
- Linux版は157.0.8103.50以降
Windows版とmacOS版では157.0.8103.50および157.0.8103.51が修正版として公開されています。
Chromeを開いたままタブを復元して作業を続けたい場合でも、「再起動」ボタンを押せば通常は開いていたタブを再展開できます。
なお、Microsoft EdgeやBraveなどのChromium系ブラウザについては、Chromeの更新がそのまま適用されるわけではありません。各ブラウザの提供元が公開するセキュリティ更新を個別に確認してください。
手順4：不審なメール添付メッセージファイルへの警戒を徹底する
パッチを適用することは根本的な防御ですが、脆弱性を悪用する攻撃は今後も発生する可能性があります。
日常の運用における自衛策も徹底してください。
添付メッセージファイル（.msg）の取り扱い
今回のOutlook脆弱性では、細工されたメッセージファイルを開く操作が攻撃の契機となります。
特に以下のようなファイルには注意してください。
- 心当たりのない送信者から届いた.msgファイル
- 請求書や見積書などを装った不審なメッセージファイル
- メール本文で開封を急かすような添付ファイル
不審なファイルは不用意にダブルクリックして開かないでください。
クラウドストレージや外部リンク経由の誘導に注意
細工されたファイルを直接添付せず、OneDrive、SharePoint、Googleドライブなどの共有リンクを利用してダウンロードさせようとする手口にも注意が必要です。
「至急ご確認ください」「未払い請求書のお知らせ」といった緊迫感を煽る件名や、不自然な共有通知には警戒してください。
ファイルの提供元が正規の相手であるか、別の連絡手段でも確認することが重要です。
アップデートが正常に完了しない場合の確認ポイント
アップデート時にエラーが発生したり、保留状態が続く場合は以下の点を確認します。
Windows Updateでエラーコードが表示される場合
Windows 11では、以下の手順でトラブルシューティングを実行できます。
- 「設定」を開く
- 「システム」を選択
- 「トラブルシューティング」を選択
- 「その他のトラブルシューティング ツール」を開く
- 「Windows Update」のトラブルシューティングを実行する
Windows 10では、「設定」→「更新とセキュリティ」→「トラブルシューティング」から確認できます。
診断ツールで解決しない場合は、表示されたエラーコードをMicrosoftのサポート情報で確認してください。
「更新して再起動」が消えない場合
更新プログラムの適用後も再起動を求められる場合は、作業中のファイルを保存して、Windows Updateの画面から再起動を実行してください。
通常のシャットダウンと再起動は異なる動作になる場合があるため、更新処理が保留されている場合は、Windowsが案内する「更新して再起動」を選択するのが確実です。
よくある質問（FAQ）
個人利用の自宅PCでも今回のアップデートは必要ですか？
必要です。
Outlookの脆弱性は、企業だけでなく個人利用のOutlook環境でも対象製品・バージョンに該当すれば影響を受ける可能性があります。
また、Windows Searchの脆弱性やGoogle Chromeのゼロデイ脆弱性も、家庭で利用しているPCに関係する問題です。
企業のPCだけの問題と考えず、個人利用のPCでも更新状況を確認してください。
新しいOutlook（New Outlook for Windows）やWeb版（OWA）も影響を受けますか？
Microsoftの今回の脆弱性情報で対象として挙げられているのは、Microsoft 365 Apps for EnterpriseやOffice LTSCなどのOutlookを含むOffice製品です。
新しいOutlookやWeb版（Outlook on the web）は従来のデスクトップ版とは異なるため、今回の脆弱性の対象製品として一律に扱うことはできません。
利用している製品がMicrosoftの影響対象に含まれているか、公式情報で確認してください。
なお、Windows OS本体の脆弱性は別問題ですので、Windows Updateも忘れずに実行してください。
メール一覧でプレビューしただけで認証情報が盗まれることはありますか？
今回のOutlook脆弱性（CVE-2026-124194）に関しては、閲覧ウィンドウ（プレビュー画面）に表示されただけでは発動しないとされています。
攻撃者が作成したメッセージファイルを明示的に開く操作が攻撃の契機です。
ただし、過去にはプレビューだけで発動する別の脆弱性も存在したため、今回の修正プログラムも必ず適用してください。
Windows Updateを適用すればOfficeも一緒に更新されますか？
Windows Updateの「詳細オプション」にある「その他のMicrosoft製品の更新プログラムを受け取る」がオンになっている場合、Officeの更新がWindows Update経由で配信されることがあります。
ただし、製品や更新チャネルによって配信タイミングが異なります。
今回のようにOutlookのゼロデイ悪用が確認されている場合は、Officeアプリ内から「今すぐ更新」を実行し、更新状況を確認することをおすすめします。
Windows 10を使っていますが、今回の更新を適用できますか？
Windows 10の通常サポートは2025年10月14日に終了しています。
個人向けESUに登録した環境や、サポート期間内のLTSCなどは引き続き対象となるセキュリティ更新を受け取れる場合があります。
通常サポートが終了したHome / Proなどの環境では、Windows Updateを実行しても今回のセキュリティ更新が提供されない可能性があります。
Windows 11への移行やESUへの登録を検討してください。
まとめ
2026年11月のセキュリティ更新では、Outlookのゼロデイ悪用（CVE-2026-124194）、Windows Searchの深刻なRCE（CVE-2026-116928）、Google Chromeのゼロデイ（CVE-2026-125350）など、重要な脆弱性への対応が必要です。
特にOutlookの脆弱性は、すでに実際の攻撃で悪用されているため、優先して対処してください。
被害を防ぐためのポイントは以下の通りです。
- Windows Updateを実行し、OSの累積更新プログラムを適用してPCを再起動する
- OutlookなどのOfficeアプリから「今すぐ更新」を実行する
- Google Chromeを「Google Chromeについて」から最新版へ更新する
- 不審なメールに添付されたメッセージファイル（.msg）を不用意に開かない
- Windows 10の場合は、ESU登録状況やサポート対象エディションを確認する
今回のようなセキュリティ更新は、後回しにせず早めに適用することが重要です。
WindowsやOfficeだけでなく、ブラウザなど日常的に利用するソフトウェアも最新の状態に保ち、大切なデータやアカウントを守りましょう。
次に読むおすすめ記事
PCやスマートフォン、各種クラウドサービスのセキュリティを総合的に強化したい方は、以下の完全ガイドもあわせて参考にしてください。
参考情報
- Microsoft Security Update Guide：CVE-2026-124194 Outlook Spoofing Vulnerability
- Microsoft Security Update Guide：CVE-2026-116928 Windows Search Remote Code Execution Vulnerability
- CISA Known Exploited Vulnerabilities Catalog
- Google Chrome Releases：Stable Channel Update for Desktop（2026年11月）
- Microsoft：Windows 10のサポート終了について
- Microsoft：Windows 10 Extended Security Updates（ESU）
- Zero Day Initiative：The November 2026 Security Update Review
- セキュリティ対策Lab：Microsoft、11月定例パッチで1,093件の修正 Outlook ゼロデイ「CVE-2026-124194」サイバー攻撃に実悪用、Windows・Officeにも重大な脆弱性
