Microsoft Officeにゼロデイ脆弱性、CVE-2026-21509に対する緊急パッチ公開

Microsoft Officeで新たなゼロデイ脆弱性が判明

Microsoft Officeにおいて、高リスクのゼロデイ脆弱性が新たに確認され、すでに実際の攻撃で悪用されていることが明らかになった。問題の脆弱性は、Officeの一部セキュリティ処理が信頼できない入力を前提として動作している設計上の欠陥に起因しており、認証を経ていない攻撃者であっても、ローカル環境でセキュリティ機構を回避できる可能性がある。

この脆弱性は、Microsoft Threat Intelligence Center（MSTIC）およびMicrosoft Security Response Center（MSRC）、Office Product Group Security Teamによる調査の過程で発見され、CVE-2026-21509として追跡されている。影響範囲は広く、Microsoft Office 2016、2019、LTSC 2021、LTSC 2024のほか、Microsoft 365 Apps for Enterpriseの複数バージョンが対象となる。

脆弱性の影響と対策

本脆弱性を悪用された場合、Microsoft 365およびMicrosoft Officeに実装されているOLE関連の緩和策が回避され、COMおよびOLEコントロールの保護機構が無効化される可能性がある。攻撃者は、細工された悪意あるOfficeファイルをユーザーに開かせることで、攻撃を成立させることが可能とされている。

Microsoftは本件を受け、緊急のセキュリティパッチを公開した。Office 2021以降のバージョンおよびMicrosoft 365 Appsでは、サービス側の修正により自動的に保護が適用されるが、変更を反映させるためにOfficeアプリケーションの再起動が必要となる。一方、Office 2016および2019を利用している環境では、最新の更新プログラムを適用するか、レジストリ設定を変更して脆弱なCOM/OLEコントロールを無効化する対応が推奨されている。

ユーザーおよび組織に求められる対応

Microsoftは、影響を受ける環境において該当するセキュリティ更新プログラムを速やかに適用することを強く推奨している。特に、Office 2016および2019を利用しているユーザーや組織については、早急な更新対応が不可欠とされる。

やむを得ず更新を適用できない場合には、Windowsレジストリの設定変更による暫定的な回避策を講じることが可能だ。Microsoftは公式ドキュメントを通じて、具体的なレジストリ変更手順を案内しており、利用者が本脆弱性への露出を最小限に抑えられるよう支援を行っている。組織のIT管理者には、影響範囲を精査した上で、適切な対策を速やかに実施することが求められる。

政府機関の対応

米国のCybersecurity and Infrastructure Security Agency（CISA）は、CVE-2026-21509を「Known Exploited Vulnerabilities（KEV）」リストに追加し、連邦民間行政機関（FCEB）に対して2026年2月16日までのパッチ適用を義務付けた。これは、本脆弱性が連邦政府システムや国家インフラに及ぼす影響を最小限に抑えるための措置とされている。

Microsoftは、本件に関連する攻撃の具体的な手法や被害範囲については詳細を公表していないものの、すでに実環境で悪用が確認されていることを踏まえ、影響を受けるすべてのユーザーおよび組織に対し、速やかな更新適用と対策の実施を強く呼びかけている。