2026年11月のパッチチューズデー：1,094件のCVE、悪用されたゼロデイ脆弱性1件

Microsoftの2026年11月のPatch Tuesdayリリースでは、1,094件のMicrosoft CVEに対応しています。これは10月の過去最高記録である1,413件からは減少していますが、それでもこれまでで2番目に規模の大きいPatch Tuesdayリリースであり、9月の974件を上回っています。今回のリリースは、Windows、Microsoft 365およびOfficeアプリ、SQL Server、SharePoint Server、Exchange Server、Azure、Defender、開発者ツールにわたります。Microsoftはさらに、Microsoft以外の165件のCVEも再公開しています。

すでに悪用が活発に確認されている脆弱性が1件あります。Microsoft Outlookのなりすましの欠陥であるCVE-2026-124194です。Microsoftはこれを「Moderate」と評価しており、このリリースのCVEでパッチ適用前に公開されていたものはありませんでした。実際に攻撃者に悪用されている脆弱性がCritical未満の評価となるのは、これで3か月連続です。したがって、対応の優先順位は悪用状況に基づいて決めるべきです。

評価対象となるMicrosoft CVEが1,000件を超える中、ITチームには、攻撃者に悪用されている脆弱性と、侵害された場合に最も大きな被害が生じるシステムから着手するリスクベースの展開が必要です。この記事では、脆弱性がどこに集中しているか、Outlookのゼロデイがどのように機能し、その修正がどこに提供されるか、次に対処すべきCritical脆弱性はどれか、そして展開をどのような順序で進めるべきかを解説します。

2026年11月のMicrosoftパッチ内訳

重大度評価が付けられた1,093件のCVEのうち、Microsoftは63件をCritical、1,029件をImportant、1件をModerateと評価しました。

権限昇格とリモートコード実行が、今回のリリースの約76%を占めています。

リモートコード実行の脆弱性は攻撃者に初期アクセスを与える可能性があり、権限昇格の脆弱性はその限定的なアクセスをシステムの完全な制御へと変える可能性があります。1回のリリースでこの2種類が800件を超える中、ITチームは影響を受けるどのシステムが公開されており、どのシステムが特権アクセスを保持しているかを把握する必要があります。

脆弱性が集中している箇所

今月のCVEの約3分の2はWindowsが占めています。さらにOfficeとSharePoint Serverで201件が追加され、ドキュメントベースのリスクは依然として上位にあります。

このリリースについてMicrosoftが公表している数値にはわずかな差異があります。リリースノートと製品ファミリー別の内訳では1,094件のCVEとされていますが、深刻度評価の対象は1,093件です。本記事では、Microsoftのリリースノートに記載されている1,094という数値を採用しています。

Outlookで悪用された1件のゼロデイ

Microsoftは今月、悪用されたCVEが1件あると示しています。これは、今回のリリース全体で唯一「Moderate」評価の脆弱性です。

認証されていない攻撃者が特別に細工したメッセージファイルを送り、受信者にOutlookでそれを開かせます。そのファイルを開くと、通常の外部コンテンツに関する警告が表示されないまま、Outlookが攻撃者に制御されたネットワーク上の場所に接続します。その接続によりユーザーのNTLMv2ハッシュが漏えいする可能性があり、攻撃者はそれを使って後続の攻撃でそのユーザーになりすますことができます。

ユーザーがそのファイルを開く必要があり、プレビューウィンドウは攻撃経路ではありません。Microsoftは、攻撃の背後にいる主体や、その被害がどの程度広がっているかを明らかにしていません。ModerateはMicrosoftの最も低い評価の1段階上にすぎませんが、今回のリリースに含まれるCVEの中で、攻撃者による悪用が確認されているのはこれだけなので、Outlookを実行しているすべてのデバイスでこれを最優先でパッチ適用してください。

この修正は、Microsoft 365 Apps および Office LTSC 2021 と 2024 のセキュリティ更新プログラムで提供されます。これは Windows の累積更新プログラム（KB5132061）には含まれていないため、Windows の更新プログラムのみを展開している組織は、Office の更新プログラムがインストールされるまで引き続き脆弱な状態にあります。

CISAは2026年11月10日にCVE-2026-124194を既知の悪用された脆弱性カタログに追加し、連邦機関に対する修正期限を2026年11月24日としました。

次に優先すべき重大な脆弱性

Microsoftは今月、63件の脆弱性をCriticalと評価しました。その内訳は、リモートコード実行が48件、権限昇格が15件です。これらをひとつのグループとして扱うのではなく、影響を受けるインフラ、それがどの程度外部にさらされているか、そして侵害された場合に何がリスクにさらされるかに基づいて優先順位を付けてください。

ID、ディレクトリ、および認証サービス

ドメインコントローラーと認証を保護するプロトコルは、攻撃者に環境全体への到達手段を与えます。Active Directory Domain Servicesの脆弱性（CVSS 8.8）には認証済みの攻撃者が必要ですが、Schannelの脆弱性（CVSS 8.1）は未認証の攻撃者によってネットワーク経由で悪用される可能性があります。Microsoftは、どちらも「Exploitation More Likely」と評価しています。

Exchange、IIS、および設定サーバー

Exchange Server（CVE-2026-118207）、Internet Information Services（CVE-2026-119961）、Windows Deployment Services（CVE-2026-119951）には、それぞれ重大なリモートコード実行の脆弱性があります。このExchangeの脆弱性のCVSSスコアは8.8で、悪用される可能性が高いと評価されています。

これらのサーバーはインターネットに直接公開されていることが多く、メール、Webサービス、またはプロビジョニングでそれらに依存するあらゆるエンドポイントに影響を及ぼします。SharePoint Serverにも注意が必要です。CVE-2026-120002はImportantと評価されていますが、CVSSは9.9であり、深刻度ラベルがリスクを実態より低く見せているもう1つの例です。

ネットワークに公開されたWindowsサービス

これらはすべて、ネットワーク上で待ち受けるサービスに存在するリモートコード実行の脆弱性です。Message Queuing とその他の影響を受けるサービスがどこで有効になっているかを特定し、外部から到達可能なシステムを優先的にキューの先頭へ移してください。このNATの欠陥（CVSS 8.1）は、「Exploitation More Likely」と評価されています。

Hyper-VとWindowsの権限昇格

今月、Windows Hyper-V には重大な特権昇格の脆弱性が8件あります。

• CVE-2026-113753

• CVE-2026-113856

• CVE-2026-113860

• CVE-2026-113861

• CVE-2026-113864

• CVE-2026-113865

• CVE-2026-119947

• CVE-2026-119960

Graphics Kernel（CVE-2026-119966 および CVE-2026-125137）と Remote Desktop Services（CVE-2026-119957）にも、権限昇格に関する重大な脆弱性があります。初期アクセスの脆弱性と組み合わせることで、攻撃者に SYSTEM レベルの制御を許す可能性があります。

Hyper-V ホストでは多くの本番ワークロードが稼働していることが多いため、ホストレベルの脆弱性があると、その上のすべてのゲストがリスクにさらされます。即時展開によってサービスが中断する可能性がある場合は、段階的なテストと調整されたメンテナンスウィンドウを使用しつつ、その時間は短く保ってください。

Microsoft 365およびOfficeアプリケーション

今月の重大なリモートコード実行の脆弱性のうち、22件はOfficeアプリケーションに関連しています。

依然として、単一アプリ内で重大な脆弱性が最も集中しているのはExcelです。悪意のあるドキュメントは、引き続きユーザー環境への最も一般的な侵入経路の1つです。3件の重大なOutlookの脆弱性（CVE-2026-110043、CVE-2026-110068、CVE-2026-111309）は、悪用済みとは記載されていません。これらはゼロデイ修正と同じOfficeの更新チャネルで提供されるため、1回のOffice展開で両方に対処できます。

ファイル、メディア、および検索コンポーネント

重大なリモートコード実行の脆弱性は、Graphic Fonts（CVE-2026-119969）、Windows Codecs Library（CVE-2026-113749）、Raw Image Extension（CVE-2026-114169）、Windows Search（CVE-2026-116928）、および Print Spooler Components（CVE-2026-113752）にも影響を及ぼします。

フォント、コーデック、画像、検索に関するこれらの欠陥は、細工されたコンテンツによって悪用される可能性があり、日常的なエンドポイントでも攻撃対象になり得ます。Print Spooler はほとんどの Windows デバイスで実行されており、パッチ適用サイクルで見落とされやすいため、このリリースの他の部分と同じ展開に含まれていることを確認してください。

Azure とセキュリティサービス

Azure OpenAI（CVE-2026-119990）とAzure Managed Grafana（CVE-2026-114160）には、それぞれ深刻な権限昇格の脆弱性があり、Microsoft Defenderには深刻なリモートコード実行の脆弱性（CVE-2026-122194）があります。クラウドサービスやセキュリティツールにもオンプレミス環境と同じレベルの検証が必要であり、セキュリティ製品の欠陥はそれ自体が価値の高い標的になります。

2026年11月のパッチに優先順位を付ける方法

すべての環境に当てはまる固定されたタイムラインはありません。まずはこれらの階層を出発点として使い、その後、公開範囲、ビジネスへの影響、テスト要件に応じて調整してください。

72時間以内にパッチを適用

• CVE-2026-124194。Microsoft 365 AppsおよびOffice LTSCの更新を通じて、Outlookを実行しているすべてのデバイスに適用

• ドメインコントローラーおよび認証サーバー上のActive Directory Domain Services、LDAP、Schannel、CredSSP

• Exchange ServerとIIS。インターネットに公開されているシステムから開始

• それらのサービスに到達可能なシステム上のメッセージキューイング、SMB Server、TCP/IP、NAT

• Hyper-V ホスト

• Google Chrome CVE-2026-125350（以下のサードパーティセクションで説明）

• その後CISA KEVカタログに追加された、または「Exploitation More Likely」としてフラグ付けされたCVE

1～2週間以内にパッチを適用

• 残るOfficeの重大な脆弱性。Excelをはじめ、次いでWord、Outlook、PowerPointです。Microsoftは、Office 2016を除くOfficeの更新プログラムを累積更新として扱っているため、ゼロデイ対応の展開には、Microsoft 365 AppsとOffice LTSC向けのこれらの修正の大半がすでに含まれています。Office 2016は個別に確認してください。

• グラフィックフォント、Codecs Library、Raw Image Extension、Windows Search、およびPrint Spoolerコンポーネント

• Graphics Kernel、Remote Desktop Services、TPMにおける権限昇格の脆弱性

• CVE-2026-120002を含むSharePoint Server

• Azure OpenAI、Azure Managed Grafana、Microsoft Defender

• 開発者のワークステーション上のVisual Studio、Visual Studio Code、.NET

• Adobe ConnectおよびAdobe Experience Managerサーバー

それでも、外部への露出状況はデフォルトのタイムラインより優先して考慮すべきです。日常的に外部ファイルを開くユーザーは、より早めにOfficeの更新が必要になる場合があります。

通常のパッチ適用サイクル

• 露出が限定的なコンポーネントにおける、Important評価の権限昇格および情報漏えいの脆弱性

• 物理アクセスが制限されたシステムにおける、ローカルアクセス限定の問題およびデバイス ドライバーの問題

• インターネットに公開されておらず、代替コントロールが導入されているシステム

注目すべきサードパーティのアップデート

同じ週に、他の複数のベンダーもセキュリティ修正を公開しており、その中にはさらに1件の悪用されたゼロデイも含まれていました。

Google Chromeのゼロデイ

Googleは、実際に悪用されているChromeのXMLコンポーネントに存在する高深刻度のuse-after-free脆弱性、CVE-2026-125350を修正しました。この修正は、WindowsとMac向けのChrome 157.0.8103.50/.51、およびExtended Stable 156.0.8078.96に含まれています。また、同じ更新で他の8件の脆弱性にも対処しています。CISAは11月10日、Outlookの脆弱性と同じ日にCVE-2026-125350をKEVカタログに追加しました。

Chromeはバックグラウンドで更新をダウンロードしますが、適用されるのは再起動後のみであるため、ダウンロード状況ではなくインストール済みのバージョンを確認してください。そのほかのChromiumベースのブラウザーも同じエンジンコードを共有しているため、それらのベンダーからの更新にも注意してください。

Adobe

Adobeは、Adobe Experience Manager、Adobe Connect、Photoshop、Premiere、After Effects、Audition、Media Encoder、Dimension、Content Credentials SDKの9製品にまたがる約110件の脆弱性に対する修正をリリースしました。Adobe ConnectとAdobe Experience Managerでは重大な脆弱性が修正されており、その中にはCVSSスコアが10のAdobe Connectの脆弱性6件が含まれています。Adobeは、悪用を把握していないとしています。

Adobeのサポートタイムラインによると、Adobe ColdFusion 2021も2026年11月10日に延長サポートの終了を迎えます。最終更新は2025年12月に提供されたため、まだ残っているColdFusion 2021サーバーにはアップグレード計画が必要です。

再公開されたMicrosoft以外のCVE

Microsoftは今月、10月の1件から増加して、Microsoft以外のCVE 165件を再公開しています。ChromeとAdobeのリリースも踏まえると、ブラウザー、クリエイティブツール、サーバーアプリケーションも、WindowsやOfficeと同じ脆弱性管理ワークフローで運用する必要があることを改めて示しています。OSのパッチ適用が最新でも、プロセスが分かれていると抜け漏れが生じる可能性があります。

11月のPatch TuesdayがITチームにとって重要な理由

11月のリリースでは、個々のCVEを超える3つの運用上の問題が浮上しています。

1. 修正は複数の更新チャネルを通じて提供されます

今月、悪用が確認されているMicrosoftの脆弱性はOffice更新で修正されます。Chromeのゼロデイにはブラウザの再起動が必要で、Adobeは独自のスケジュールで更新を提供します。Windows Updateだけを前提にしたプロセスでは、デバイスが最新と報告されていても、依然として脆弱性にさらされている可能性があります。

チームには、各OSビルドだけでなく各アプリケーションのパッチ状況も必要です。あわせて、今月特に重要な更新がまだ適用されていないデバイスを明確に把握できることも重要です。

2. Windows 11 23H2 Enterprise および Education は更新の提供終了を迎えます

Microsoftによると、11月の更新プログラム（KB5131087）は、Windows 11 バージョン23H2 EnterpriseおよびEducation向けの最後のセキュリティ更新プログラムです。Windows 11 バージョン24H2 HomeおよびProはすでに10月に更新提供が終了しており、商用のWindows 10 22H2デバイスが今月の修正プログラムを受け取るには、Extended Security Updates Year 2ライセンスが必要です。

これらのエディションのデバイスは、チームがどれだけ迅速にパッチを適用しても、終了日を過ぎると修正プログラムを受け取れなくなります。今すぐ特定し、アップグレードを計画しましょう。Microsoft は、2026年12月のセキュリティ以外のプレビュー更新プログラムは提供されないとも発表していますが、12月のセキュリティ更新プログラムは引き続き Patch Tuesday に提供される見込みです。

3. セキュリティ強化の変更にはテストが必要になる場合があります

この更新により、Windows 11クライアントでは、匿名ではない接続に対してNTLMメッセージ署名がデフォルトで提供されるようになり、NTLMリレー攻撃の軽減に役立ちます。悪用されたゼロデイがNTLMv2ハッシュを標的としている今月において、これはタイムリーな変更です。

PowerShell では署名付きスクリプトに対して、より厳格なエンコーディングチェックが適用されるようになったため、無効なUTF-8エンコーディングのスクリプトは、これまで動作していた場合でも署名の検証に失敗する可能性があります。Microsoft のガイダンスでは、これらのスクリプトをバイトオーダーマーク付きのUTF-8で保存し、再度署名することが推奨されています。広範囲に展開する前に、署名付き自動化スクリプトを少数のデバイスグループでテストしてください。

Splashtop AEMがパッチの優先順位付けと展開にどう役立つか

1,094件のCVEを含む今回のリリースと実際に悪用されたゼロデイにより、ITチームには2つの課題があります。自社環境で重要なものを特定することと、適切な更新を迅速に展開することです。Splashtop AEM（Autonomous Endpoint Management）は、その両方を一元化されたコンソールから処理します。

• 公開されているデバイスを特定： Splashtop AEMは、WindowsおよびmacOSのエンドポイントに対して、パッチ適用状況やハードウェア／ソフトウェアのインベントリとあわせて、CISAの既知の悪用済み脆弱性カタログに含まれるものを含むCVEsを継続的にスキャンします。更新の展開が進む中でも、チームはどのエンドポイントがまだ公開されたままかを確認できます。

• 攻撃者が実際に悪用しているものを優先：AI搭載のCVE要約と、EPSSスコアやKEVステータスを含むリスクシグナルにより、チームは1,000件を超えるCVEリリースの中から、悪用されている脆弱性を優先して対処できます。

• 設定と確認をより迅速に: OSとサードパーティアプリケーションのリアルタイムパッチ適用、自動化ポリシー、メンテナンスウィンドウ、再起動制御、更新リングにより、チームはまず少数のデバイスグループでサーバーまたはHyper-Vの更新をテストできます。その後、チームは展開対象を拡大し、どのインストールが成功、失敗、または遅延したかを追跡できます。

• 既存のワークフローを強化: Splashtop AEMはMicrosoft Intuneを強化できます。リアルタイムのパッチ適用、CVEの可視化、修復機能を追加できます。RMMを使用しているチームは、それを使ってパッチの可視性と自動化のギャップを埋めることができます。

Splashtop AEMで露出したエンドポイントをより迅速に見つけて修正

11月のリリースは10月より小規模ですが、それでも現在までで2番目に大きい Patch Tuesday であり、悪用が確認されている Microsoft の脆弱性 1 件は Windows の更新プログラムの外で修正されています。IT チームは、あらゆる更新チャネルでどのエンドポイントが影響を受けるかを把握し、最も緊急性の高い修正を優先して展開し、各インストールを確認する必要があります。

Splashtop AEMの無料トライアルを始めて、どのエンドポイントに脆弱性があるかを確認し、リスクの高い更新を優先し、より迅速にパッチを設定しましょう。