緊急パッチ公開：Microsoft Officeのゼロデイ脆弱性（CVE-2026-21509）が野放しに悪用中

Microsoftが緊急パッチを公開：Microsoft Officeのゼロデイ脆弱性（CVE-2026-21509）が悪用中

Microsoftは、Microsoft Officeにおける高リスクのゼロデイ脆弱性CVE-2026-21509に対処するため、定例外のセキュリティアップデートを公開しました。この脆弱性は現在攻撃に悪用されており、CVSSスコア7.8が付与されています。標的型攻撃の報告を受け、Microsoftは月曜日にパッチを公開しました。

技術的詳細

CVE-2026-21509は、Microsoft Officeにおけるセキュリティ機能バイパスの脆弱性として分類されています。Microsoftのアドバイザリによると、この脆弱性は、ソフトウェアがセキュリティ決定を行う際に信頼できない入力に依存していることに起因し、攻撃者が認可なくセキュリティ制御を回避できる可能性があります。

具体的な悪用方法はまだ公開されていませんが、セキュリティ機能バイパスの脆弱性は通常、攻撃者に以下の行為を可能にします：

• 被害者のセッションのコンテキストで任意のコードを実行
• 認証やアクセス制御のバイパス
• 影響を受けるアプリケーション内での権限昇格

この脆弱性は、Microsoft Officeの複数のバージョンに影響を及ぼしますが、初期のアドバイザリでは具体的な影響を受けるバージョンは公開されていません。

影響分析

CVE-2026-21509の積極的な悪用は、組織や個人ユーザーに重大なリスクをもたらします。主なリスクは以下の通りです：

• 機密文書やシステムへの不正アクセス
• Officeが他のエンタープライズアプリケーションと統合されている場合のネットワーク内でのラテラルムーブメント
• データの流出やさらなるマルウェアの展開

**CVSSスコア7.8（高）**であることから、この脆弱性は特に現在進行中の悪用を考慮すると、極めて深刻です。攻撃者は、悪意のあるドキュメントを開くだけで（ユーザーの操作を必要とせずに）システムを侵害する可能性があります。

推奨対策

Microsoftは、すべてのユーザーに対し、悪用のリスクを軽減するために緊急パッチを直ちに適用するよう強く推奨しています。さらに推奨される対策は以下の通りです：

1. 高リスク環境を含む、すべてのMicrosoft Officeインストールに対してパッチの適用を優先する。
2. 予期しないOfficeプロセスや不審なドキュメントの挙動など、不審な活動を監視する。
3. ユーザーに対し、信頼できないドキュメントを開くリスクについて教育を行う。たとえ一見正規のソースからのものであっても注意が必要。
4. 影響を受けるバージョンや最新のガイダンスについては、Microsoftの公式アドバイザリ（Microsoft Security Response Center）を確認する。

パッチを直ちに適用できない組織に対しては、Microsoftが以下のような回避策を提供しています：

• OfficeアプリケーションでのマクロやActiveXコントロールを無効化する。
• 不審なドキュメントの挙動をブロックするためのAttack Surface Reduction（ASR）ルールを実装する。

次のステップ

セキュリティチームは以下の対応を行うべきです：

• すべてのエンドポイントでパッチの適用状況を確認する。
• 未パッチのシステムを特定するために脆弱性スキャンを実施する。
• CVE-2026-21509に関連する侵害の痕跡（IoC）についてログを確認する。

Microsoftは、この攻撃を特定の脅威アクターやグループに帰属させていません。パッチの分析が進むにつれ、悪用技術の詳細が明らかになる可能性があります。

原文レポート：The Hacker News