Microsoft Publisher の脆弱性（CVE-2024-38226）

何が起きた

Microsoft Publisher に、信頼できないファイルや悪意のあるファイルを止めるための Office のマクロの方針（マクロをブロックする設定）をすり抜けられてしまう弱点が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃は対象のパソコン上で行われ、一般利用者程度の権限と、被害者の操作が必要です。Microsoft の説明では、攻撃者が利用者をだまして、細工したファイルを Web サイトからダウンロードして開かせる必要があります。プレビューウィンドウ（ファイルの中身をのぞき見る画面）は攻撃の入り口にならないとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft の情報では、Publisher 2016（32 ビット版・64 ビット版）と、Office 2019、Office LTSC 2021（それぞれ 32 ビット版・64 ビット版）が対象です。

何をすればいい

2024年9月のセキュリティ更新を適用してください。Publisher 2016 は KB5002566（更新後の版は 16.0.5465.1001）で、Office 2019 と Office LTSC 2021 はクイック実行（Click to Run）の更新で修正されます。知らない相手から届いたファイルや、見知らぬ Web サイトのファイルを開かないようにしてください。公式の案内（Microsoft のセキュリティ更新プログラム ガイド）も確認してください。

やることチェックリスト

• Publisher 2016にKB5002566を適用する
• Office 2019とLTSC 2021を最新に更新する
• 知らない相手からのファイルは開かないようにする

用語メモ

マクロ

Office の文書の中に入れておける、作業を自動で行う小さなプログラムのことです。悪用されることがあるため、信頼できないファイルでは止める設定があります。

プレビューウィンドウ

ファイルを開かずに中身をのぞき見できる、エクスプローラーなどの表示欄のことです。

クイック実行

Office をインターネット経由で入れて、自動で更新していく方式のことです。