Microsoft Outlook の脆弱性 CVE-2026-70329：強力なフィッシング手段となる恐れ

Microsoft Outlook Vulnerability Allows Attackers to Execute Malicious Code Remotely

2026/08/12 CyberSecurityNews — Microsoft が 2026年8月の Patch Tuesday の一環として公表したのは、Outlook に存在する新たなリモート・コード実行 (RCE) の脆弱性 CVE-2026-70329 (CVSS：8.8 High) である。この脆弱性は Microsoft Office Outlook の整数オーバーフローおよびラップアラウンドの欠陥に起因する。Microsoft のアドバイザリによると、この脆弱性を悪用する権限を持たない攻撃者は、ネットワーク経由で任意のコード実行に至る可能性があるため、サポート対象の Outlook または Office の各バージョンを運用する組織にとって、この更新プログラムの適用は優先事項となる。

Microsoft Security Response Center によると、2026年8月の Patch Tuesday 前の時点では、この欠陥は公表されておらず、実環境で活発に悪用された証拠も確認されていない。Microsoft の評価では、悪用可能性は “unlikely” とされているが、PoC やエクスプロイト・チェーンが公開されると、悪用可能性の評価が変化する可能性があるため、セキュリティ・チームには迅速なパッチ適用が求められる。

この攻撃にはユーザー操作が必要であり、標的が何らかの操作を実行しない限り自動的には発動しない。したがって、攻撃者にとって必要なことは、悪意のある Office ファイルを作成して、電子メールの添付ファイルとして送信し、そのファイルを受信者に開かせることである。

Microsoft Outlook のリモート・コード実行 (RCE) 脆弱性

悪意のファイルが開かれると、整数オーバーフローのバグが発生してメモリを破損し、プログラムの実行フローが乗っ取られ、その結果として、被害者の権限レベルに応じて、影響を受けるシステムの完全な制御が奪われる可能性がある。この攻撃パターンは、過去に確認された多数の Outlook／Office 関連のメモリ破損バグと類似しているが、認証を必要としないネットワーク経由のエクスプロイトではなく、フィッシング・メールを介したソーシャル・エンジニアリングが主要な攻撃手段となる。

Microsoft の更新プログラムは、Office の幅広い製品を対象とするものであり、影響を受ける製品に含まれるのは、32-bit／64-bit システム向けの Microsoft 365 Apps for Enterprise、32-bit／64-bit の両アーキテクチャ向け Microsoft Office 2019、32-bit／64-bit エディション向け Microsoft Office LTSC 2021／LTSC 2024、32-bit／64-bit システム向けスタンドアロン版 Microsoft Outlook 2016 などである。

Outlook 2016 について Microsoft が公開した修正は、Knowledge Base の記事 5002755 で提供され、バージョン 16.0.5565.1000 へと更新するものである。Click-to-Run エディションは Microsoft のサービス・チャネルを通じて自動的に更新されるが、スタンドアロンの MSI ベースのインストールでは、手動によるセキュリティ・アップデートの展開が必要となる。

CVE-2026-70329 は、Microsoft が 2026年8月のセキュリティ・アップデート・サイクルで対処した 394 件の脆弱性の 1 つである。このアップデートでは、他の製品ラインで活発に悪用されている 3 件のゼロデイの脆弱性も修正されている。

前述の Outlook の欠陥とは別に、CVSS スコアが 4.3 と低く評価された Outlook のスプーフィング脆弱性 CVE-2026-62882 も存在し、さらに、Excel／Word／PowerPoint に影響を及ぼす複数の情報漏えいバグも存在する。Microsoft は、協調的脆弱性開示プログラムを通じて、Outlook の RCE 欠陥を報告した匿名の研究者に謝意を示している。

セキュリティ・チームに求められるのは、すべての Outlook／Office インストール環境に対して 2026年8月の累積更新プログラムを優先して展開することである。特に、自動的な Click-to-Run 更新を受信しない Office 2016 または LTSC ビルドを、現在も運用している環境においては、この更新プログラムの展開が重要となる。

前述のとおり、この脆弱性を悪用する前提として、ユーザーを欺いて悪意のあるファイルを開かせる必要がある。したがって、全デバイスへのパッチを適用した上で、フィッシング対策に関する意識向上のための訓練および、電子メール添付ファイルのフィルタリングを強化し、さらにリスクを低減する必要がある。

メール処理ソフトウェアである Microsoft Outlook において、数値の算術処理の誤りに由来するメモリ破損とリモートコード実行の脆弱性 CVE-2026-70329 が公開されました。悪意あるファイルを開かせるフィッシング攻撃を介して、端末の権限を奪われる恐れがあります。影響を低減するための手順として、最新の修正パッチの適用／受信メールの添付ファイル検知ルールの見直し／組織内における不審なメッセージへの警戒徹底が重要となります。環境に応じた手動による更新などの、早期の対応が推奨されます。