Microsoft Office の脆弱性（CVE-2026-21514）

何が起きた

Microsoft Office Word が、信頼できない入力をもとに安全かどうかを判断してしまう弱点が見つかりました。Microsoft と NVD の説明では、ログインしていない攻撃者が、対象の機器上で安全のための機能をすり抜けられるおそれがあるとされています。Microsoft によると、すり抜けられるのは、危険な COM や OLE の部品から利用者を守る Office の仕組みです。一方、CISA の KEV の概要では「ログイン済みの攻撃者による権限の引き上げ」と書かれており、説明が食い違っています。Microsoft によると、攻撃者は悪意のある Office ファイルを送り、利用者に開かせる必要があります。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、影響を受けるのは Microsoft 365 Apps for Enterprise、Microsoft Office LTSC 2021 と 2024、Microsoft Office LTSC for Mac 2021 と 2024 です。Microsoft は、プレビューウィンドウは攻撃の経路ではないとしています。

何をすればいい

Windows 版の Office は、クイック実行（Click to Run）の更新で最新の版にしてください。Mac 版の Office LTSC 2021 と 2024 は 16.106.26020821 以降に更新されているか確かめてください。Microsoft の公式の案内を確認し、知らない相手から届いた Office ファイルは開かないようにしてください。

やることチェックリスト

• Office をクイック実行で最新に更新する
• Mac 版は 16.106.26020821 以降にする
• 知らない相手の Office ファイルを開かないようにする

用語メモ

OLE

Office の文書の中に、別のアプリのデータや部品を埋め込んで動かすための Windows の仕組みです。

プレビューウィンドウ

ファイルを開かずに、中身を小さく表示して確かめられる画面です。

クイック実行

Microsoft 365 などの Office を、インターネット経由で自動的に更新する方式です。