Microsoft Excel の脆弱性（CVE-2016-7262）

何が起きた

Microsoft Office（Excel）が入力を正しく扱わないことで、セキュリティ機能を回避される弱点が見つかりました。Microsoft の説明では、攻撃者が細工した文書ファイルを用意し、利用者にそのファイルを開かせて特定のセルをクリックさせると、任意の（攻撃者が好きに選べる）命令を実行されるおそれがあります。NVD の評価では、ログインは不要ですが、利用者がファイルを開いて操作する必要があります。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Excel 2007 SP3、Excel 2010 SP2、Excel 2013 SP1、Excel 2013 RT SP1、Excel 2016、Office Compatibility Pack SP3、Excel Viewer を使っている人や組織が対象です。Microsoft のライフサイクルのページによると、Office 2007、Office 2010、Office 2013、Office 2016 はいずれもサポートが終わっています。

何をすればいい

Microsoft は、セキュリティ情報 MS16-148（KB 3204068）で修正の更新プログラムを出しています（たとえば Excel 2007 SP3 は KB 3128019）。Microsoft は、この弱点の回避策はないとしています。サポートが終わった Office は使い続けず、サポート中の版に置き換えてください。知らない相手から届いたファイルは開かないようにします。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• Excel に MS16-148 の更新プログラムを入れる
• サポートが終わった Office をサポート中の版に置き換える
• 知らない相手から届いた Excel ファイルを開かない

用語メモ

セキュリティ機能を回避

ソフトウェアに備わった守りの仕組みを、すり抜けられてしまうことです。

セル

Excel の表の中の、一つ一つのマス目のことです。

回避策 用語集で見る

修正の更新を入れるまでの間、弱点を突かれにくくするための一時的な対策です。