Microsoft Office の脆弱性（CVE-2026-21509）

何が起きた

Microsoft Office に、安全かどうかの判断を信用できない入力に頼って行っているため、セキュリティの機能をすり抜けられてしまう弱点が見つかりました。Microsoft によると、すり抜けられるのは、危険な COM や OLE の部品から利用者を守るための仕組みです。悪用には、攻撃者が送った細工した Office のファイルを、利用者が開く必要があります。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Office 2016、Microsoft Office 2019、Microsoft Office LTSC 2021、Microsoft Office LTSC 2024、Microsoft 365 Apps for Enterprise を使っている人や組織が対象です。Microsoft によると、プレビューウィンドウで表示するだけでは攻撃は成立しません。

何をすればいい

Microsoft Office 2016 は 16.0.5539.1001 以降、Microsoft Office 2019 は 16.0.10417.20095 以降になっているか確認してください（Office 2016 の更新は KB5002713 です）。Microsoft によると、Microsoft 365 Apps と Office 2021 以降は、Microsoft 側の変更で自動的に守られますが、効果を出すには Office のアプリを再起動する必要があります。知らない相手から届いた Office のファイルは開かないようにし、あわせて公式の案内を確認してください。

やることチェックリスト

• Office 2016 と 2019 に今回の更新を適用する
• Microsoft 365 Apps などの Office アプリを再起動する
• 知らない相手からの Office ファイルを開かないようにする

用語メモ

OLE

Office の文書に、別のソフトの部品やデータを埋め込むための仕組みです。

COM

Windows で、ソフトの部品を別のソフトから呼び出して使うための仕組みです。

プレビューウィンドウ

ファイルを開かずに、中身を小さく表示して確かめられる画面の一部です。