【セキュリティニュース】2026年11月13日｜Outlook脆弱性の悪用と認証情報1件の流出

「Windowsやofficeの更新は、落ち着いたときにまとめてやればいい」——そう考えている方は少なくありません。ただ、11月のMicrosoft更新には、すでに悪用が確認されている脆弱性が含まれていました。この記事では11月11日から12日に公表された3件を取り上げ、中小企業が今週中に確認すべきことだけを整理します。

この記事でわかること

• 悪用が確認されたOutlookの脆弱性と、更新の優先度
• 認証情報1件の流出から顧客情報が漏えいのおそれとなった事例
• 公式アプリへの不正アクセスと、会員サイトを持つ会社の備え
• 今週のチェックリスト(表)

1. Outlookの脆弱性で悪用を確認｜IPAが至急の更新を呼びかけ

2026年11月11日(日本時間)、Microsoftが月例のセキュリティ更新を公開しました。IPAは同日、悪用が確認された脆弱性があるとして至急の適用を呼びかけています。

• CVE番号: CVE-2026-124194(Microsoft Outlookのなりすましの脆弱性)
• 対象: Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024
• 影響: 細工されたファイルを開くと、警告が出ないまま外部に接続され、Windowsの認証情報が流出するおそれ
• 状況: Microsoftが悪用の事実を確認済み。修正は11月の更新で提供

中小企業にとっての意味

メールを開く作業は、全社員が毎日行います。特別な操作をしなくても被害につながりうるため、更新の遅れがそのままリスクになります。

今日からできる対策

• Windows UpdateとOfficeの更新を実行し、再起動まで終わらせる
• 更新が止まりがちな端末(持ち出しPC・予備機・共用機)を洗い出す
• 心当たりのない添付ファイルは開かないよう、社内に改めて周知する

出典: IPA「Microsoft製品の脆弱性対策について(2026年11月)」

自社サイトやサーバー側の更新を止めている場合も同じ構図です。あわせてPHPのサポート終了と重大な脆弱性もご確認ください。

2. 認証情報1件の流出から、顧客情報が漏えいのおそれ

サイバーセキュリティクラウドは11月12日、開発環境での情報漏えいのおそれを公表しました。従業員が業務で使っていたGitHub(開発用のクラウドサービス)の認証情報1件が外部に流出し、第三者によると考えられる不審なアクセスを11月5日に確認したとしています。

• 漏えいのおそれがある情報: 一部顧客の企業名・氏名・メールアドレス、サービス利用に伴う通信関連情報
• 同社の対応: 流出した認証情報の無効化、他の認証情報の確認と変更、アクセス権限の見直し、関係端末の隔離

中小企業にとっての意味

鍵1本の管理漏れが、会社が預かる情報全体に及ぶ形です。クラウドサービスを業務で使っている会社すべてに当てはまります。

今日からできる対策

• クラウドサービスの管理者アカウントに二要素認証を設定する
• IDとパスワードをメールやチャットで送り合っていないか見直す
• 退職者・異動者のアカウントが残っていないか棚卸しする

出典: サイバーセキュリティクラウド「当社開発環境における情報漏えいのおそれに関するお知らせとお詫び(第一報)」

3. 公式アプリに不正アクセス｜6万4003アカウントに漏えいのおそれ

ユナイテッド・スーパーマーケット・ホールディングスは11月12日、自社アプリのシステムに不正アクセスがあり、6万4003アカウントの氏名とメールアドレスが漏えいした可能性があると発表しました(報道)。不正アクセスの確認は10月14日で、現時点で不正利用は確認されていないとされています。

中小企業にとっての意味

自社で会員サイトや予約フォームを持つ会社は、同じ立場になりえます。発覚から公表までに時間がかかるのは、調査に時間を要するためです。

今日からできる対策

• 自社が持つ会員登録・予約・問い合わせの仕組みを一覧にする
• アクセスログが保存されているか、制作会社に確認する
• 何かあったときの連絡先(制作会社・保守先)を1枚にまとめておく

出典: 日本経済新聞

今週のチェックリスト

よくある質問

Q. 更新すると業務ソフトが動かなくなるのが心配です。

A. 基幹システムと連携している端末は、1台で先に適用して確認する方法が現実的です。残りの端末は先に更新を進めると、全体のリスクを下げられると考えられます。

Q. 当社は社員10人ほどですが、狙われるのでしょうか。

A. 今回のような脆弱性の悪用は、規模ではなく「更新されていない端末」を対象に広く行われます。規模の小ささは守りにはなりません。

Q. 取引先から情報漏えいの連絡が来たら、何をすればよいですか。

A. 対象の情報と期間を書面で確認し、そのサービスで使っていたパスワードを変更します。同じパスワードを他で使い回していた場合は、そちらも変更してください。

まとめ

• Outlookの脆弱性(CVE-2026-124194)は悪用が確認済み。更新と再起動を今週中に
• 認証情報1件の流出でも、顧客情報の漏えいにつながりうる
• 会員サイトを持つ会社は、仕組みの一覧とログ・連絡先の確認から
• 費用をかけずにできる更新・二要素認証・棚卸しが、最初の3手

オフィスフジタは岐阜県美濃加茂市を拠点に、岐阜・愛知の中小企業のIT環境とセキュリティ対策を支援しています。自社で何から手をつけるべきか分からない段階からご相談ください。

セキュリティ対策を含むIT環境づくりを見る / お問い合わせフォームから相談する