Microsoft Excel のリモートコード実行の脆弱性（CVE-2019-1297）

何が起きた

Microsoft Excel に、メモリ上のデータ（オブジェクト）を正しく扱えない弱点が見つかり、実際に悪用が確認されています。攻撃者はネットワーク経由で悪用でき、ログインは要りませんが、利用者が細工されたファイルを開く操作が必要です。悪用されると、ログイン中の利用者と同じ権限で任意の（攻撃者が好きに選べる）コードを実行され、管理者権限で使っているとパソコンを乗っ取られるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Excel 2010 Service Pack 2、Excel 2013 Service Pack 1（RT を含む）、Excel 2016、Office 2016 for Mac、Office 2019（Windows 版と Mac 版）、Office 365 ProPlus を使っている人や組織が影響を受けます。これは Microsoft が公開している対象製品の一覧に基づきます。

何をすればいい

Microsoft が 2019年9月10日に公開した更新プログラムを入れ、適用されているか確認してください。Excel 2010 は KB4475574、Excel 2013 は KB4475566、Excel 2016 は KB4475579 で、Office 2019 と Office 365 ProPlus はクイック実行（Click to Run）の更新、Mac 版はリリースノートの案内に従います。プレビューウィンドウは攻撃の入口にならないとされていますが、知らない相手から届いた Excel ファイルは開かないようにしてください。Microsoft の公式の案内も確認してください。

やることチェックリスト

• Excel のセキュリティ更新プログラムを入れる
• Office のクイック実行の更新を適用する
• 知らない相手からのファイルを開かないようにする

用語メモ

オブジェクト

プログラムがメモリの中で扱う、データとその扱い方をひとまとめにしたものです。

クイック実行

Office をインターネット経由で配信し、自動で更新できるようにするインストール方式です。

プレビューウィンドウ

ファイルを開かずに、中身を小さく表示して確かめられる画面です。