OutlookのCVE-2026-70329は、悪意を持って細工されたOfficeファイルを利用者が開いた場合に、攻撃者によるコード実行につながる可能性がある脆弱性です。
対処方法は明確です。Microsoft 365 AppsやOffice 2019、Office LTSC 2021／2024などのClick-to-Run版は、2026年8月11日の修正を含む最新のセキュリティ更新へ進めます。MSI版のOutlook 2016にはKB5002755を適用します。 Microsoftから別の回避策は提示されていないため、設定変更だけで済ませず、更新の適用とバージョン確認まで実施してください。(Microsoft Security Response Center)
MSRCの公開時点では、実際の悪用も脆弱性情報の事前公開も確認されておらず、悪用可能性は「低い」と評価されています。ただし、CVSS v3.1の基本値は8.8で、攻撃に成功した場合は機密性・完全性・可用性のすべてに大きな影響が及ぶ可能性があります。「悪用可能性が低い」という評価を、更新を先送りしてよい理由にはできません。(Microsoft Security Response Center)
CVE-2026-70329とは
CVE-2026-70329は、Microsoft Outlookに存在する整数オーバーフローまたは整数のラップアラウンドに起因する、リモートコード実行の脆弱性です。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-70329 |
| 対象 | Microsoft Outlookを含むMicrosoft 365 Apps、Office 2019、Office LTSC 2021／2024、Outlook 2016など |
| 脆弱性の種類 | 整数オーバーフローまたはラップアラウンド |
| 想定される影響 | リモートコード実行 |
| CVSS v3.1 | 8.8 High |
| 攻撃者の事前権限 | 不要 |
| 利用者の操作 | 必要 |
| 公開時点の悪用 | 確認されていない |
| 公開時点の情報公開 | 確認されていない |
| MSRCの悪用可能性評価 | 低い |
| 公式な回避策 | 提示されていない |
| 主な修正方法 | Click-to-Runのセキュリティ更新、またはOutlook 2016用KB5002755 |
CVEレコードとNVDでは、攻撃経路はネットワーク、攻撃の複雑さは低、攻撃者の事前権限は不要、利用者の操作は必要と評価されています。つまり、攻撃者が対象PCへ直接ログインする必要はありませんが、利用者に細工したファイルを開かせる工程が必要です。(NVD)
メールを受信しただけで攻撃が成立するとは限らない
公開されている攻撃シナリオでは、利用者が悪意あるOfficeファイルを開く操作が必要です。そのため、細工された添付ファイルを受信しただけで、直ちにコードが実行される脆弱性としては説明されていません。
ただし、次のような経路でファイルを開かせる攻撃は十分に考えられます。
- 取引先や社内担当者を装ったメールへの添付
- クラウドストレージ上の共有ファイルを装ったリンク
- 請求書、見積書、応募書類、会議資料を装ったファイル
- パスワード付きZIPなど、メール検査を回避しようとする形式
- チャットやファイル共有サービスから送られるOfficeファイル
「添付ファイルを開かなければ問題ない」という利用者教育は補助的な対策にはなりますが、誤操作を完全には防げません。更新プログラムの適用が本来の対処です。
整数オーバーフローがコード実行につながる理由
整数オーバーフローは、プログラムがファイル内のサイズや位置を計算するときに、扱える数値の上限を超えて計算結果が不正な値になる問題です。
たとえば、OutlookがOfficeファイル内のデータサイズを計算する際に、実際より小さい値として処理してしまうと、確保したメモリ領域を超えてデータを書き込む可能性があります。その結果、メモリ破損が起き、攻撃者が用意したコードの実行につながる場合があります。
CVE-2026-70329について、攻撃コードや詳細な再現手順は公開されていません。したがって、ファイル形式や具体的な内部処理を推測して、一部の拡張子だけを許可する運用を「完全な対策」とみなすべきではありません。
対象環境ごとの修正方法
最初に確認すべきなのは、OfficeまたはOutlookがClick-to-Run版なのか、MSI版なのかという点です。インストール方式によって適用する更新が異なります。
| 利用環境 | 適用する修正 |
|---|---|
| Microsoft 365 Apps | 利用中の更新チャネルに対応する最新セキュリティ更新 |
| Office 2019 Click-to-Run／ボリュームライセンス版 | 2026年8月11日の修正を含む更新、またはそれ以降の更新 |
| Office LTSC 2021 | 2026年8月11日の修正を含む更新、またはそれ以降の更新 |
| Office LTSC 2024 | 2026年8月11日の修正を含む更新、またはそれ以降の更新 |
| Outlook 2016 Click-to-Run版 | Click-to-Runの更新機能でセキュリティ更新を適用 |
| Outlook 2016 MSI版 | KB5002755を適用 |
KB5002755は、Microsoft Installer、つまりMSIベースのOutlook 2016用です。Office 2016のClick-to-Run版やMicrosoft 365 Appsには適用できません。(マイクロソフトサポート)
Click-to-Run版とMSI版を見分ける方法
Outlook 2016では、次の方法でインストール方式を確認できます。
- Outlookを起動します。
- 「ファイル」を選択します。
- 「Officeアカウント」を開きます。
- 「製品情報」を確認します。
- 「更新オプション」が表示されているか確認します。
通常、「更新オプション」が表示されている場合はClick-to-Run版です。MSI版では更新オプションが表示されません。(マイクロソフトサポート)
ただし、企業や自治体などで更新がグループポリシーや管理ツールによって制御されている場合、Click-to-Run版でも更新操作が制限されることがあります。「更新オプション」が見当たらない場合は、MSI版と即断せず、製品名やビルド番号、組織の更新ポリシーも確認してください。Microsoftも、更新オプションが表示されない理由として、ボリュームライセンス版や組織による更新管理を挙げています。(マイクロソフトサポート)
Microsoft 365 AppsとClick-to-Run版を更新する手順
個人管理のPCでは、Officeアプリから手動で更新できます。
- 作業中のファイルを保存します。
- Outlook、Word、ExcelなどのOfficeアプリを開きます。
- 「ファイル」から「Officeアカウント」を選択します。
- 「更新オプション」を開きます。
- 「今すぐ更新」を選択します。
- 更新完了後、Officeアプリをいったん終了します。
- Outlookを再度起動し、バージョンとビルド番号を確認します。
「今すぐ更新」が表示されない場合は、先に「更新を有効にする」を選択する必要があります。組織管理のPCでは、利用者が手動更新できない場合があるため、管理部門側で更新チャネルや配信ポリシーを確認します。(マイクロソフトサポート)
修正を含む主なビルド
Microsoftが2026年8月11日に公開したOfficeセキュリティ更新では、次のビルドにCVE-2026-70329の修正が含まれています。
| 製品・更新チャネル | 2026年8月11日の修正を含むビルド |
|---|---|
| Current Channel | バージョン2607、ビルド20228.20190 |
| Monthly Enterprise Channel バージョン2607 | ビルド20228.20188 |
| Monthly Enterprise Channel バージョン2606 | ビルド20131.20206 |
| Monthly Enterprise Channel バージョン2605 | ビルド20026.20266 |
| Office 2024 Retail | バージョン2607、ビルド20228.20190 |
| Office 2021 Retail | バージョン2607、ビルド20228.20190 |
| Office LTSC 2024 ボリュームライセンス版 | バージョン2408、ビルド17932.20910 |
| Office LTSC 2021 ボリュームライセンス版 | バージョン2108、ビルド14334.20848 |
| Office 2019 ボリュームライセンス版 | バージョン1808、ビルド10417.20197 |
これらは2026年8月11日時点の基準です。より新しいバージョンやビルドがインストールされている場合、古いビルドへ戻す必要はありません。利用している更新チャネルで、上記の修正を含むビルドまたはそれ以降へ更新します。(Microsoft Learn)
Microsoft 365 Appsでは、Current Channel、Monthly Enterprise Channel、Semi-Annual Enterprise Channelなどでビルド番号が異なります。別チャネルの番号と単純比較せず、現在利用しているチャネルの更新履歴と照合してください。(Microsoft Learn)
Outlook 2016にKB5002755を適用する手順
KB5002755は、2026年8月11日に公開されたOutlook 2016用のセキュリティ更新です。CVE-2026-70329のほか、Outlookのなりすまし脆弱性やWordのリモートコード実行脆弱性に対する修正も含まれています。(マイクロソフトサポート)
Microsoft Updateから適用する
- Windowsの「設定」を開きます。
- 「Windows Update」を選択します。
- 「詳細オプション」を開きます。
- 「Windowsの更新時にその他のMicrosoft製品の更新プログラムを受け取る」を有効にします。
- 更新プログラムを確認します。
- KB5002755が表示されたらインストールします。
- 再起動を求められた場合はPCを再起動します。
OfficeのMSI更新をWindows Update経由で受け取るには、Microsoft製品向けの更新を受け取る設定が必要になる場合があります。(マイクロソフトサポート)
Microsoft Updateカタログから適用する
組織内で更新を手動配布する場合や、Windows Updateに表示されない場合は、Microsoft UpdateカタログからKB5002755を取得できます。
ダウンロード時は、Windowsの32ビット／64ビットではなく、インストールされているOutlook 2016の32ビット／64ビットに合わせてパッケージを選択してください。
Microsoft Updateカタログでは、Outlook 2016の32ビット版と64ビット版が個別に提供されています。
KB5002755が「この製品には適用できません」と表示される場合
主な原因は次のとおりです。
| 原因 | 確認内容 |
|---|---|
| OutlookがClick-to-Run版 | KBを直接入れず、Officeアプリの「今すぐ更新」を使用する |
| 32ビットと64ビットの選択ミス | Outlookのビット数に合ったパッケージを取得する |
| Outlook 2016がインストールされていない | 製品名とバージョンを再確認する |
| 組織の更新管理下にある | WSUS、Microsoft Configuration Manager、Intuneなどの配信状況を確認する |
| 更新が既に置き換えられている | より新しいOffice更新がインストール済みか確認する |
KB5002755は、以前のOutlook 2016セキュリティ更新であるKB5002683を置き換えます。そのため、KB5002755を適用するためにKB5002683を先に個別インストールする必要はありません。(マイクロソフトサポート)
更新後に修正済みか確認する方法
更新は「インストール操作を行った」だけで終わりではありません。再起動待ち、更新失敗、配信ポリシーの遅延などにより、対象端末が古い状態のまま残ることがあります。
Click-to-Run版の確認
- Outlookを起動します。
- 「ファイル」を開きます。
- 「Officeアカウント」を選択します。
- 「Outlookのバージョン情報」を開きます。
- バージョンとビルド番号を確認します。
- 利用チャネルの2026年8月11日修正版、またはそれ以降であることを確認します。
管理者は、バージョン番号だけでなく、括弧内のビルド番号まで記録してください。同じバージョン2607でも、更新前後でビルド番号が異なる場合があります。
Outlook 2016 MSI版の確認
- Windowsで「コントロールパネル」を開きます。
- 「プログラムと機能」を選択します。
- 「インストールされた更新プログラムを表示」を開きます。
- 検索欄に「KB5002755」と入力します。
- Outlook 2016用KB5002755が表示されることを確認します。
Windows Updateの「更新の履歴」から、更新のインストール日時を確認する方法もあります。(マイクロソフトサポート)
OfficeのMSI更新は、Windows OSの更新確認に使われるGet-HotFixだけでは確認できない場合があります。端末管理では、コントロールパネルのインストール済み更新、資産管理ツール、ソフトウェアインベントリを組み合わせて確認するのが安全です。
公式な回避策がない場合の暫定対策
CVE-2026-70329について、Microsoftは更新プログラム以外の回避策を提示していません。更新が完了するまでの間は、次の対策で攻撃機会を減らします。
- 外部から届いたOfficeファイルを安易に開かないよう利用者へ周知します。
- メールゲートウェイで不審な添付ファイルを隔離します。
- パスワード付き圧縮ファイルを自動的に信頼しない運用にします。
- 管理者権限を持つアカウントで日常的にOutlookを使用しないようにします。
- 外部ファイルを多く受け取る部署から優先的に更新します。
- EDRやMicrosoft Defenderの検知状況を確認します。
- 更新完了まで、出所不明のファイルは隔離環境で確認します。
これらは攻撃の可能性を下げるための多層防御であり、脆弱性そのものを修正するものではありません。
マクロを無効にするだけでは不十分
CVE-2026-70329は、整数オーバーフローに起因するメモリ処理の脆弱性です。Microsoftは、攻撃成立にVBAマクロが必要だとは説明していません。
そのため、マクロの無効化は有効な一般対策ではあるものの、CVE-2026-70329への完全な回避策にはなりません。保護ビュー、添付ファイル制限、マクロ制御のいずれも、更新プログラムの代わりにはならない点に注意してください。
管理者が優先して更新すべき端末
全端末を同時に更新できない場合は、悪意あるファイルを受け取る可能性と、端末が持つ権限の大きさで優先順位を決めます。
| 優先度 | 対象の例 |
|---|---|
| 最優先 | システム管理者、ドメイン管理者、経営層、情報システム部門の端末 |
| 高 | 経理、購買、採用、営業、問い合わせ窓口など、外部添付ファイルを多く扱う端末 |
| 中 | 一般職員・一般社員の端末 |
| 個別対応 | オフライン端末、閉域端末、業務アプリとの互換性検証が必要な端末 |
特に、管理者権限を持つ利用者が悪意あるファイルを開いた場合、被害範囲が大きくなる可能性があります。まず少数端末で業務アプリやOutlookアドインとの互換性を確認し、その後すみやかに全体へ展開する方法が現実的です。
更新が進まない場合の確認ポイント
「最新の状態です」と表示されるのにビルドが古い
組織の更新チャネルや配信ポリシーで、利用できるビルドが制限されている可能性があります。次を確認します。
- Officeの更新チャネル
- グループポリシーによる更新制御
- Office Deployment Toolの設定
- WSUSやMicrosoft Configuration Managerの承認状況
- Microsoft 365 Appsの更新期限設定
- プロキシやファイアウォールによるOffice CDNへの通信制限
利用者側で「最新」と表示されても、組織が承認した範囲内で最新という意味の場合があります。
KB5002755がWindows Updateに表示されない
Outlook 2016がClick-to-Run版であれば、KB5002755は表示されません。また、Microsoft製品の更新を受け取る設定が無効になっている場合や、WSUSで更新が未承認の場合も表示されないことがあります。
最初にインストール方式を確認し、MSI版であることが確認できた場合に限り、Microsoft Updateカタログからの手動適用を検討してください。
更新後にOutlookが起動しない
更新後に不具合が発生した場合は、次の順で確認します。
- PCを再起動します。
- Outlookをセーフモードで起動します。
- サードパーティー製アドインを一時的に無効化します。
- Officeのクイック修復を実行します。
- 改善しない場合はオンライン修復を検討します。
- 組織管理端末では、独自アドインやメール連携製品との互換性を確認します。
セキュリティ更新を安易にアンインストールすると、脆弱な状態へ戻ります。業務影響がある場合も、まず原因の切り分けと修正版の有無を確認してください。
Outlook 2016とOffice 2019は移行計画も必要
Office 2016とOffice 2019は、2025年10月14日にサポートが終了しています。Microsoftは2026年8月のOfficeセキュリティ更新資料にOffice 2019向けビルドを掲載していますが、個別の更新が提供されたことを、継続的なサポートの再開と解釈すべきではありません。(Microsoft Learn)
今回のKB5002755を適用したとしても、今後発見されるすべての脆弱性に対して更新が提供される保証はありません。
Outlook 2016やOffice 2019を使用している組織では、今回の更新と並行して、Microsoft 365 AppsやOffice LTSC 2024など、サポート対象製品への移行計画を進める必要があります。
よくある疑問
KB5002755をMicrosoft 365 Appsにインストールする必要はある？
必要ありません。
KB5002755はMSIベースのOutlook 2016用です。Microsoft 365 AppsはClick-to-Runの更新チャネルから最新セキュリティ更新を適用します。(マイクロソフトサポート)
Outlook 2016のClick-to-Run版にもKB5002755を入れる？
入れません。
Outlook 2016であってもClick-to-Run版なら、Officeアプリの「更新オプション」または組織のOffice更新管理機能から更新します。
メールを開いただけで攻撃される？
公開されている説明では、悪意あるOfficeファイルを利用者が開く操作が必要です。ただし、メールやチャットを利用して自然にファイルを開かせる攻撃は想定できるため、受信メールの見た目だけで安全性を判断しないでください。(NVD)
マクロを無効にしていれば安全？
完全な対策にはなりません。
本脆弱性は整数オーバーフローによるもので、マクロの実行が攻撃成立の必須条件とは公表されていません。マクロ制御と更新プログラムの適用は別の対策として考える必要があります。
悪用可能性が低いなら更新を待ってもよい？
推奨できません。
悪用可能性評価は公開時点の情報に基づくもので、将来の攻撃コード公開や悪用開始を否定するものではありません。CVE-2026-70329はCVSS 8.8のコード実行脆弱性であり、通常のセキュリティ更新サイクル内で速やかに修正すべき問題です。(Microsoft Security Response Center)
CVE-2026-70329への対応を完了するチェックリスト
- 利用中のOutlookとOffice製品を特定します。
- Click-to-Run版かMSI版かを確認します。
- Microsoft 365 AppsやOffice LTSCは最新セキュリティビルドへ更新します。
- MSI版Outlook 2016にはKB5002755を適用します。
- 更新後のビルド番号またはKBのインストール状況を確認します。
- 更新が完了するまで、不審なOfficeファイルを開かない運用を徹底します。
- Outlook 2016やOffice 2019を使用している場合は、サポート対象製品への移行を進めます。
CVE-2026-70329には、Microsoftが提示する別の回避策がありません。最も重要なのは、インストール方式を正しく判定し、Click-to-Run版には最新のOfficeセキュリティ更新、MSI版Outlook 2016にはKB5002755を適用したうえで、修正済みであることを端末ごとに確認することです。
コメント