cve-ja
← 新着
CVE

認証なしで、警告が出ないまま危険な操作をさせられ、なりすまされるおそれ。

危険な操作に対する警告の欠如。対象は Microsoft 365 Apps for Enterprise（16.0.14334.21048 未満・16.0.17932.21140 未満）。

CVE-2026-124194EUVD-2026-122310至急

一言・影響を受ける人・対策は AI（sonnet）が元の説明文から作成。版の番号などは元の文と機械で照合した。対応の前に元の告知を確かめてほしい。誤りに気づいたら運営者へ。

CVSS
6.5
Medium
CNA
悪用
確認済み（CISA KEV）
11/10 に追加
PoC
見つかっていない
11/14 時点
修正
修正版あり
16.0.14334.21048・16.0.17932.21140 以降
国内
注意喚起あり
IPA・JPCERT/CC（11/11）
まずやること：Microsoft 365 Apps を 16.0.14334.21048 または 16.0.17932.21140 以降に更新する
公開
2026年11月10日
最終更新
2026年11月13日
優先度の理由
悪用確認済み
最終確認
2026年11月13日
EPSS
1.62%
PoC
見つかっていない
攻撃の条件
ネット越し・ログイン不要・相手の操作が要る
国内
IPA・JPCERT/CC 注意喚起

概要

認証なしで、警告が出ないまま危険な操作をさせられ、なりすまされるおそれ。

元の説明（英語）を読む

Product ui does not warn user of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network.

影響を受ける人

Outlook（Microsoft 365 Apps・Office LTSC 2021/2024）を使う人

対策

  • Microsoft 365 Apps を 16.0.14334.21048 または 16.0.17932.21140 以降に更新する

国内の動き

海外の動き

PoC

リンクだけを載せる。中身は確かめていない。

偽物やマルウェア入りが混じる（GitHub の PoC の 1.9〜10.3% に悪意の兆候があったという研究がある）。動かすのは、自分の検証用の環境で、中身を読んでからにする。他人のシステムに向けない。
AmesianX/CVE-2026-124194-poc↗★ 13 · 11/11 作成 · その他CVE-2026-124194 PoC - Outlook spoofing/forced-authentication NTLM leak (patched 2026-11). Concept proof only, untested against vulnerable Outlook.Ghost-Bx1/cve-2026-124194-outlook-ntlm-hash-leak↗★ 2 · 11/11 作成 · その他CVE-2026-124194 - Outlook NTLM Hash Leak (CVSS 6.5)aminaljabre77-collab/outlook-ntlm-leak-investigation↗★ 0 · 11/14 作成 · その他SOC investigation of the Outlook zero-day CVE-2026-124194 (NTLM hash leak) using simulated logs and Splunk searches.

経過

2026年11月10日・一次情報
脆弱性が公開された
2026年11月10日・悪用確認
CISA が KEV に追加（悪用を確認）（Bluesky で元の投稿に返信）
2026年11月11日・国内
IPA が注意喚起。JPCERT/CC が注意喚起（Bluesky で元の投稿に返信）

影響する版

Microsoft Microsoft 365 Apps for Enterprise範囲は告知を確認
Microsoft Microsoft Office LTSC 202116.0.14334.21048 未満が対象（16.0.14334.21048 で修正）
Microsoft Microsoft Office LTSC 202416.0.17932.21140 未満が対象（16.0.17932.21140 で修正）