主要な数値：修正は合計1,080件
- 緊急：59
- 重要：1,019
- 警告：1
- 武器化（weaponized）済み：0
- 公開済み：0
- 悪用の検出を確認：1
今回は、ボリュームの面で今年最大のPatch Tuesdayリリースであり、Windows、Microsoft Office、Exchange Server、SharePoint、SQL Server、Azureサービス、Visual Studio、OSのコアコンポーネントが対象です。「緊急」の脆弱性が59件というのは大きな数字で、そのうち3件が今回のリリースで最も高いリスクスコアを共有し、4件目がわずか1ポイント差で続きます。ところが、Microsoftが悪用の検出を確認したとしている唯一の脆弱性は、「緊急」ではありません。評価は「警告」で、CVSSスコアは6.5と、今月のリリースの中で最も低い部類です。今回のリリースには武器化されたものも公開済みのものもなく、悪用が確認された唯一の事例がいっそう際立っています。これが今月の教訓であり、先月と同じです。数字が入れ替わっただけです。深刻度と悪用状況は別の問題であり、攻撃者がすでに侵入している状況では、後者の方が重要になります。
CVE-2026-124194：すでに悪用されている、「警告」評価のバグ
これはMicrosoft Outlookのなりすましの脆弱性です。Microsoft自身の説明は、その仕組みについて異例なほど明快です。製品のユーザーインターフェイスが安全でない操作についてユーザーに警告しないため、認可されていない攻撃者がネットワーク経由でなりすましを行えるというものです。CVSSスコアは6.5、深刻度は「警告」で、今月のリリース全体で「警告」と評価された唯一の脆弱性です。リスクスコアは24で、リリースの上位ではなく下位に位置します。この脆弱性を優先すべき理由は、スコアではありません。Microsoft自身の悪用可能性評価（Exploitability Assessment）で、今月、悪用の検出を確認されている唯一のCVEとされているからです。「緊急」の59件をすべて含め、リリース内の他の脆弱性には、緊急度のより低い悪用可能性ラベルが付いているか、ラベル自体がありません。CVSSスコアだけでトリアージすると、この脆弱性はリストの上位にはまず入りません。Microsoftが実際に起きていると述べている状況に基づいてトリアージするなら、最優先になるはずです。
深刻度の最上位で4件が並ぶ
今月のリリースで最も高いリスクスコアを共有しているのは4件です。そのうち3件はリスクスコア89で並んでいます。CVE-2026-112967（Windows Xbox Live Networking Service、リモートコード実行）、CVE-2026-116928（Microsoft Exchange Server、リモートコード実行）、CVE-2026-119958（Windows LDAP、リモートコード実行）です。3件とも「緊急」で、CVSSスコアは9.8、Microsoftによる評価は「悪用される可能性が低い（Exploitation Less Likely）」であり、いずれもまだ悪用は確認されていません。4件目のCVE-2026-119990（Azure OpenAI、特権の昇格）も、CVSSスコア9.8の「緊急」で、リスクスコアは87です。今月、悪用可能性評価がまったく記載されていない13件の脆弱性のうちの1件です。推測：MicrosoftがAzure OpenAIをホスト型サービスとして管理し、顧客に修正を委ねず一括して修正しているためと考えられます。先月の一部のAzure/Entraの脆弱性と同様です。要確認：スプレッドシートにはこの点が明記されていないため、顧客に対応不要と伝える前に、このCVEに関するMicrosoft自身のアドバイザリで確認する必要があります。Exchange ServerとActive Directory Domain Servicesも、今月のリスクが最も高いリモートコード実行の項目に含まれています（CVE-2026-118207とCVE-2026-118146、いずれもリスクスコア84）。両方とも「悪用される可能性が低い」ではなく「悪用される可能性が高い（Exploitation More Likely）」と評価されており、これはスコアと併せて検討すべき、明確に異なるシグナルです。
プレビューウィンドウは、今も攻撃経路になっている
今月は10件の脆弱性に、過去のリリースでも見られた同じ注記が付いています。プレビューウィンドウが攻撃経路になるというものです。先月の4件から増加しました。そのうち5件は、今月で2番目に高いリスク階層（84）にあります。CVE-2026-110043とCVE-2026-110068（Outlook RCE）、CVE-2026-110067とCVE-2026-111285（Word RCE）、CVE-2026-111289（Office RCE）です。残りの5件はPowerPointにまたがり、リモートコード実行と情報漏えいに分かれていて、リスクスコアはより低くなっています。このパターンは、現れるたびに毎月繰り返す価値があります。クリックも、マクロも、「コンテンツの有効化」のプロンプトも不要で、ファイルをプレビューするだけで十分です。今月は10の異なるコードパスが同じUI機能を経由しているため、添付ファイルのフィルタリングと最新の攻撃面の縮小（Attack Surface Reduction）ルールがこれまで以上に重要です。
SharePointの攻撃面は拡大を続け、今回はなりすましが中心に
SharePointは今月29件のCVEがあり、先月の16件から増えました。内訳も変化しています。今回はなりすましが最大のカテゴリで10件、次いで特権の昇格（9件）、リモートコード実行（7件）、情報漏えい（3件）です。先月のSharePointはRCEとEoPに偏っていましたが、今月は、ユーザーやシステムに本来信頼すべきでないものを信頼させる手口が主要なテーマです。今月のSharePointでリスクが最も高いのは、CVE-2026-120002です。CVSSスコア9.9、リスクスコア78の特権の昇格の脆弱性で、「悪用される可能性が低い」と評価されています。これまでと同様、ここでは個々のCVEと同じくらい件数そのものが重要です。管理者権限を制限し、通常とは異なる権限変更を監視し、最もスコアの高いものだけを選ぶのではなく、すべての更新プログラムを適用してください。
覚えておきたい新しい名前：Windows Advanced Rasterization Platform
今月の特権の昇格の脆弱性のうち23件は、Windows Advanced Rasterization Platform（ARP）に起因しています。このコンポーネントは、最近のリリースではあまり目立っていませんでした。いずれもスコープの変更（Scope Changed）とされ、ローカルで動作する認可された攻撃者が必要です。全件に共通する根本原因は、ヒープベースのバッファーオーバーフロー、解放後使用（use-after-free）、スタックベースのバッファーオーバーフローです。このグループのリスクスコアは56から72です。23件すべてが「悪用される可能性が低い」と評価されており、悪用が確認されたものはありません。しかし、これまで目立たなかった単一のコンポーネントに23件のEoPの脆弱性があること自体、資産インベントリの観点だけでも注意に値します。Windows Advanced Rasterization Platformがお客様の環境に存在するかどうかを確認し、より馴染みのあるWindowsコンポーネントと同じ方法で管理されているかをご確認ください。
SQL Serverの常連：SQLインジェクション
Microsoft SQL Serverには今月52件のCVEがあり、リモートコード実行と特権の昇格にまたがっています。そのうち、特権の昇格に関する11件のCVE（CVE-2026-118105、CVE-2026-118109、CVE-2026-118110、CVE-2026-118120を含む、いずれもCVSS 8.8、リスクスコア72）は、まったく同じ根本原因を共有しています。SQLコマンドで使用される特殊要素の不適切な無害化、つまりSQLインジェクションであり、認可された攻撃者がネットワーク経由で特権を昇格できてしまいます。同じ製品で、同じ月に、同じ根本的な脆弱性クラスのCVEが11件あるのは、無関係な12件のバグというより、SQL Serverのコードベース全体で特定のコードパターンが繰り返されていることを示すのが通常です。SQL Serverを大規模に運用している場合は、このグループを一括してパッチ適用するとともに、カスタムのストアドプロシージャや拡張機能など、他の箇所に同じパターンがないかをDBAチームに確認することをお勧めします。
今月のHyper-V：特権の昇格とサービス拒否で、リモートコード実行ではない
Hyper-Vには今月16件のCVEがあり、特権の昇格、サービス拒否、なりすまし、セキュリティ機能のバイパスにまたがっています。今月の説明はすべて、攻撃者がすでにローカルまたは認可されたアクセス権を持っていることを前提としており、ゲスト仮想マシンがホストに到達すると記述しているものは16件中1件もありません。これは、先月のリリースで指摘されたゲストからホストへの攻撃チェーンとは異なる性質です。このグループでリスクが最も高いのは、CVE-2026-113753（特権の昇格、CVSS 8.2、リスクスコア79）で、スコープの変更（Scope Changed）とされた5件のHyper-V EoPの脆弱性の1つです。共有のHyper-Vインフラを運用している場合、今月の内容は先月のホスト脱出の懸念ほど緊急ではありませんが、個別ではなくグループとしてパッチを適用する価値があります。
今月のヒーローになるには：スコアではなく、悪用の実態を追う
- まずCVE-2026-124194にパッチを適用してください。今月、悪用の検出が確認されている唯一の脆弱性であり、リリース内で唯一の「警告」評価でもあります。両者が食い違う場合は、常に悪用可能性の状況がCVSSスコアに優先します。
- リスクが最も高い4件の「緊急」で対応を止めないでください。CVE-2026-112967、CVE-2026-116928、CVE-2026-119958（いずれもリスクスコア89）とCVE-2026-119990（リスクスコア87）は、スコアでは今月の最上位ですが、現時点で悪用が確認されたものはありません。
- 「悪用可能性評価なし」がお客様の環境にとって何を意味するのかを確認してください。今月は13件のCVE（大半がAzureとクラウドサービス関連）に評価がまったくありません。そのサービスがすでに一括して修正済みなのか、お客様側での対応がまだ必要なのかは、Microsoftのアドバイザリで確認してください。
- プレビューウィンドウを、再び現実の攻撃面として扱ってください。今月は10の異なるコードパスがこれに依存しており、先月より増えています。添付ファイルのフィルタリングと攻撃面の縮小（Attack Surface Reduction）ルールを最新の状態に保ってください。
- SharePointをシステムとして見直し、特になりすましに注意してください。今月のSharePointの29件のCVEでは、RCEやEoPではなくなりすましが最大のカテゴリで、先月の内訳から変化しています。
- Windows Advanced Rasterization Platformがお客様の環境に存在するかどうかを確認してください。今月の特権の昇格に関する23件のCVEが、この1つのコンポーネントに起因しています。より馴染みのあるコンポーネントと同様に、資産インベントリとパッチ適用サイクルで管理されていることを確認してください。
- SQL Serverのインジェクション関連のグループは、一括してパッチを適用してください。今月の11件のCVEは、SQL Serverにおける同じSQLインジェクションの根本原因を共有しています。同じパターンが他にもないか、DBAチームに確認してください。
- 予防とあわせて、レジリエンスを優先してください。予防が破られたとき、被害を左右するのは復旧のスピードです。Absoluteは、ファームウェアに組み込まれたAbsolute Persistence®と、自動化されたAbsolute Rehydrate®の機能により、侵害されたエンドポイントを大規模かつ迅速に復元し、重大なインシデント時のダウンタイムと運用負荷の軽減を支援します。
See the November 2026 Patch Tuesday Chart (PDF).
