「MS Office」にゼロデイ脆弱性、すでに悪用も - アップデートを公開

「Microsoft Office」においてセキュリティ機能をバイパスされる脆弱性が存在し、すでに悪用されていることがわかった。同社は、サービス側での対応やアップデートを用意するなど対策を講じている。

マイクロソフトは現地時間2026年1月26日、脆弱性「CVE-2026-21509」に関するセキュリティアドバイザリを公開したもの。すでに脆弱性が悪用されているという。

同脆弱性は、細工されたOfficeファイルをユーザーが開いた際、セキュリティ上の判断を信頼できない入力に依存することで「OLE」のセキュリティ緩和策をバイパスされるおそれがある。プレビューウィンドウに関しては脆弱性の対象に含まれない。

同社は共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.8」、重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングした。

「Office 2021」以降の場合、サービス側の変更により対応済みで、アプリケーションを再起動すれば自動的に保護され、同脆弱性の影響を受けないという。

アドバイザリ公開当初、「Office 2019」「同2016」についてはセキュリティ更新プログラムを準備中としていたが、同日情報を更新し、提供開始したことを明らかにした。自動更新を有効化していれば適用される。また緩和策としてレジストリキーの設定を案内している。

（Security NEXT - 2026/01/27 ）ツイート