EZ-net@IT研究所 ｜ 発行日：2026年9月 ｜ カテゴリ：セキュリティ
脆弱性速報 ・ 2026年9月
Microsoft Outlook の深刻な脆弱性 CVE-2026-70329
8 月パッチの至急適用を呼びかけ
8 月パッチの至急適用を呼びかけ
CVSS 8.8 のリモートコード実行（RCE）の脆弱性。フィッシングメールに添付された細工済みのファイルを開くだけで発動する。
現時点で実際の攻撃（インシデント）の報告はないが、同種の脆弱性は公開から悪用可能なコードが出現するまで通常数週間。今週中の適用を推奨する。
現時点で実際の攻撃（インシデント）の報告はないが、同種の脆弱性は公開から悪用可能なコードが出現するまで通常数週間。今週中の適用を推奨する。
2026年9月 ・ EZ-net@IT研究所
目次
1. 脆弱性の概要
8.8
CVSS v3.1 高（HIGH）
2026-08-11
Microsoft 8 月のパッチチューズデーで公開
要操作
不正な添付を開かないと発動せず
CVE-2026-70329 は、Microsoft Outlook における整数オーバーフロー（CWE-190）によるリモートコード実行（RCE）の脆弱性です。攻撃者はフィッシングメールで細工を施した Office ファイルを送り付け、被害者がそれを開くと、その権限の範囲内で任意のコードを実行できます。Microsoft は現時点で悪用の可能性を「低い」と評価し、公開された実際の攻撃（インシデント）の報告もありませんが、同種の脆弱性は公開されてから実際に悪用可能なコードが出現するまで通常数週間しかかかりません。
2. 影響範囲
| 影響を受ける製品 | プラットフォーム | 修正対象バージョン |
|---|---|---|
| Microsoft 365 Apps for Enterprise | Windows 32/64 ビット | 最新チャネル ビルド（詳細は aka.ms/OfficeSecurityReleases を参照） |
| Microsoft Office 2019 | Windows 32/64 ビット | 同様 |
| Microsoft Office LTSC 2021 | Windows 32/64 ビット | 同様 |
| Microsoft Office LTSC 2024 | Windows 32/64 ビット | 同様 |
| Microsoft Outlook 2016（スタンドアロン版） | Windows 32/64 ビット | 16.0.5565.1000 以上（KB5002755） |
注意：影響を受けるのは Windows 版の Outlook / Office のみで、macOS 版は対象外です。ただし Mac ユーザーも通常の更新を続けることをお勧めします。
3. 攻撃の仕組み
攻撃の流れ：フィッシングメールで細工を施した Office 添付を送付 → 被害者がファイルを開く → 整数オーバーフローが発生 → メモリ破損 → プログラムの実行を乗っ取る → 被害者の権限内で任意のコードを実行。
本脆弱性はユーザー操作が必要であり、ゼロクリックで自動発動するものではありません。ただし、リスクの本質は、たった一人の従業員が誤ったファイルを開くだけで、社内ネットワークへの侵入の入口になり得る点にあります。過去の傾向として、同種の Office メモリ破損脆弱性は公開から実際に悪用可能なコードが出現するまで通常数週間で、パッチ適用の猶予は短いのが現実です。
本脆弱性はユーザー操作が必要であり、ゼロクリックで自動発動するものではありません。ただし、リスクの本質は、たった一人の従業員が誤ったファイルを開くだけで、社内ネットワークへの侵入の入口になり得る点にあります。過去の傾向として、同種の Office メモリ破損脆弱性は公開から実際に悪用可能なコードが出現するまで通常数週間で、パッチ適用の猶予は短いのが現実です。
4. 対応策（優先順）
STEP 1
パッチ適用（最優先）
2026 年 8 月の Office セキュリティ更新を適用する。Click-to-Run 版は自動更新されるため、適用済みであることを確認。MSI スタンドアロン導入（特に Office 2016 / LTSC）は IT 部門が KB5002755 を手動で配信する必要がある。外勤・オフライン端末を優先。
STEP 2
暫定緩和
直ちにパッチを適用できない場合：Outlook の閲覧ウィンドウを無効化（表示 → 閲覧ウィンドウ → オフ）、エンドポイントで Office の挙動監視を有効化、メールゲートウェイで添付ファイルのサンドボックス検査を有効化、社内ネットワークで高リスクポートの外部接続を制限。
STEP 3
従業員への啓発
見知らぬ送信元の添付はそのまま開かない。請求書や契約書は必ず電話で送信者に確認。不審なメールは IT へ直接報告し、転送や同僚への一斉注意喚起はしない。
STEP 4
事後確認
既に不審な添付を開いてしまった場合：直ちにネットワークから切断し、異常なプロセス・スケジュールされたタスク・ファイルの外部送信を確認。必要に応じて資格情報（クレデンシャル）のリセット、ホストの隔離、起因の特定（トレース）を実施。
5. 関連リスク（同月パッチ）
2026 年 8 月のパッチチューズデーでは、合計 394 件の脆弱性が修正され、その中に 3 件のゼロデイ（0day）が含まれます。その一つである Windows AFD.sys の権限昇格脆弱性 CVE-2026-68820 は、既に Lazarus グループによって実際の攻撃（インシデント）での悪用が確認されています。同じタイミングで、Outlook のスプーフィング（なりすまし）の脆弱性 CVE-2026-62882（CVSS 4.3）も修正されています。
さらに警戒が必要な点として、8 月の Office 更新には「閲覧ウィンドウ（プレビュー表示）」だけで発動する緊急（Critical）評価の RCE が少なくとも 10 件存在します（CVE-2026-63515 など）。ファイルを開かなくてもプレビュー時にコードが実行されるため、より危険です。Office 全製品を今週中に更新し、月次サイクルを待たず、今回の Outlook 修正と上記ゼロデイを同等の最優先で対応することを推奨します。
さらに警戒が必要な点として、8 月の Office 更新には「閲覧ウィンドウ（プレビュー表示）」だけで発動する緊急（Critical）評価の RCE が少なくとも 10 件存在します（CVE-2026-63515 など）。ファイルを開かなくてもプレビュー時にコードが実行されるため、より危険です。Office 全製品を今週中に更新し、月次サイクルを待たず、今回の Outlook 修正と上記ゼロデイを同等の最優先で対応することを推奨します。
6. よくある質問 FAQ
Q1：Mac 版の Outlook は影響を受けますか？
A：影響リストには含まれず、今回対象となるのは Windows 版の Outlook / Office のみです。ただし Mac ユーザーも通常の更新を続け、他のセキュリティ修正を見落とさないようご注意ください。
Q2：自社の PC にパッチが適用されたかどうか確認するには？
A：Outlook → ファイル → アカウント → Outlook のバージョン情報でバージョン番号を確認（Outlook 2016 は 16.0.5565.1000 以上であること）。またはファイル → アカウント → 更新オプション → 更新履歴の表示。MSI 導入の場合は IT 部門が配信状況を確認する必要があります。
Q3：添付を開かず、プレビューだけで被害に遭いますか？
A：CVE-2026-70329 自体はファイルを開くことがトリガーです（UI:R）。しかし 8 月には閲覧ウィンドウで発動する緊急（Critical）脆弱性が 10 件以上あるため、閲覧ウィンドウの無効化と早期の更新を併せて推奨します。
Q4：Microsoft は悪用の可能性を「低い」としているが、それでも急いで適用すべき？
A：適用すべきです。同種の脆弱性は過去の傾向として、公開から実際に悪用可能なコードが出現するまで通常数週間です。今回のパッチサイクルでは既にゼロデイ（CVE-2026-68820）が実際の攻撃（インシデント）での悪用が確認されており、他の高危険な脆弱性と併せて修正します。パッチ適用の猶予は短く、早く当てるほど安心です。
✦ ✦
Outlook の深刻な脆弱性――まずは一度 IT 健康診断を
御社の Office / Outlook は 8 月のパッチまで更新されていますか？
外勤・オフライン端末までカバーされていますか？
資産リストをお寄せいただければ、無料で不備（ギャップ）の洗い出しをお手伝いします。
無料 IT 健康診断を予約する
外勤・オフライン端末までカバーされていますか？
資産リストをお寄せいただければ、無料で不備（ギャップ）の洗い出しをお手伝いします。
EZ-net@IT研究所 — 迅速 ・ 専門 ・ 安心 ・ 多言語
IT安全は「支出」ではなく、未来を守る「投資」です！
IT安全は「支出」ではなく、未来を守る「投資」です！
