2026年6月9日（米国時間）に公開されたMicrosoftのセキュリティ更新では、OutlookとWordに関係する3件のリモートコード実行（RCE）脆弱性が修正されました。
一般ユーザーが最初にすべきことは、Officeを「最新」と表示されるまで更新し、OutlookとWordを再起動することです。特にクラシックOutlookでは、メールのプレビューウィンドウが攻撃経路になるため、「添付ファイルを開かなければ安全」とは限りません。
今回の修正に伴う新しい設定や追加料金はありません。ただし、Office 2016・2019はすでにサポートが終了しており、Office 2021・Office LTSC 2021も2026年10月13日にサポート終了を迎えます。該当する場合は、更新と並行して移行計画を立てる必要があります。(Microsoft)
Outlook・WordのRCE修正（2026年6月）の要点
「Outlook and Word RCE fixes in June 2026」として注目されているのは、次の3件です。
| CVE | 不具合の種類 | CVSS v3.1 | 主な対象 |
|---|---|---|---|
| CVE-2026-45456 | 型の取り違えによるメモリ処理の不具合 | 8.4 | Microsoft 365 Apps、Office 2019、Office LTSC 2021・2024、Mac版Office、Word 2016、SharePoint Serverなど |
| CVE-2026-45458 | 解放済みメモリの再利用 | 8.4 | Microsoft 365 Apps、Office 2019、Office LTSC 2021・2024、Mac版Office、Word 2016、SharePoint Serverなど |
| CVE-2026-47635 | ヒープベースのバッファーオーバーフロー | 8.4 | 現在の公式影響情報では、主にOffice LTSC 2024の32ビット版・64ビット版 |
いずれも、悪用されるとOfficeを実行しているユーザーの権限で不正なコードを動かされる可能性があります。Microsoftはこれらを「緊急」と評価しています。(Microsoft Security Response Center)
Microsoftの2026年6月9日版Officeセキュリティリリースノートでは、3件すべてがWord関連の修正として掲載されています。ただし、すべてのCVEがすべてのOffice製品に影響するわけではありません。製品ごとの対象範囲は、各CVEの「影響を受ける製品」で判断する必要があります。(Microsoft Learn)
メールを開いていなくても影響する理由
クラシックOutlookは、メール本文を表示するときにWordの一部機能を利用します。そのため、細工されたメールがプレビューウィンドウで処理されるだけで、脆弱なWordの処理が呼び出される可能性があります。
つまり、次の対策だけでは十分とはいえません。
- 添付ファイルをダブルクリックしない
- マクロを無効にする
- 知らない送信者からのWordファイルを開かない
今回の問題はマクロではなく、メールや文書を解析・描画する処理に関係します。根本的な対策はOfficeの更新です。
「リモートコード実行」なのにCVSSではローカル攻撃なのか
各CVEのCVSSベクトルでは、攻撃元が「ローカル」と評価されています。これは、脆弱な処理そのものが被害者のPC上にあるOfficeアプリ内で実行されるためです。
一方、攻撃者は細工したメールや文書をネットワーク経由で送り込めます。このため、脆弱性の名称はリモートコード実行となっています。
攻撃者がPCの前に座ったり、事前にユーザーアカウントへログインしたりする必要があるという意味ではありません。
影響を受ける可能性が高いユーザー
利用環境によって、確認すべきポイントが異なります。
| 利用環境 | 確認すべきこと | 取るべき対応 |
|---|---|---|
| Windows版Microsoft 365 | WordやクラシックOutlookのビルド | 「今すぐ更新」を実行 |
| Office 2024・2021 | 2026年6月9日以降のビルドか | Officeアプリから手動更新 |
| Office LTSC | 更新チャネルと配布済みビルド | 管理者が組織全体へ展開 |
| Mac版Office | Microsoft AutoUpdateまたはApp Storeの更新状況 | バージョン16.110以降へ更新 |
| Office 2016・2019 | 更新の適用状況と移行予定 | 配布された更新を適用し、移行を開始 |
| SharePoint Server | サーバー側の更新状況 | ファームの手順に従って更新 |
| Outlook on the web・モバイル版のみ | デスクトップ版Officeを併用していないか | PCにインストールされたOfficeも確認 |
特に注意したいのが、「Outlookを使っているがWordは使わない」というユーザーです。クラシックOutlookのメール表示でWordの機能が使われるため、Wordを日常的に起動しないPCも更新対象になります。
なお、MSRCが攻撃経路として説明しているのはクラシックOutlookです。新しいOutlook、Outlook on the web、モバイル版を同一条件で扱うのではなく、PCにインストールされている製品名とバージョンで判断してください。
Windows版Officeを今すぐ更新する手順
Microsoft 365、Office 2024、Office 2021など、クイック実行形式のOfficeでは次の手順で更新できます。
- 作業中の文書を保存します。
- Wordを開きます。
- 「ファイル」→「アカウント」を選択します。
- 「製品情報」にある「更新オプション」→「今すぐ更新」を選択します。
- 更新完了後、WordとOutlookをいったん終了します。
- 再度Wordを開き、「ファイル」→「アカウント」でバージョンを確認します。
- 再起動を求められた場合は、PCを再起動します。
クラシックOutlookから操作する場合は、「ファイル」→「Officeアカウント」から同じ更新メニューを開けます。「今すぐ更新」が表示されず「更新を有効にする」がある場合は、先に更新を有効にしてください。(マイクロソフトサポート)
「更新オプション」が表示されない場合
「更新オプション」がなく、「バージョン情報」しか表示されない場合は、次のどちらかである可能性があります。
- ボリュームライセンス版Officeを使用している
- 会社や学校の管理者が更新を制御している
この場合は、インターネット上から個別の更新ファイルを探してインストールせず、社内のIT担当者へ連絡してください。連絡時には、次の情報を伝えると確認が早くなります。
- Officeの製品名
- バージョンとビルド番号
- 32ビット版か64ビット版か
- Windowsのバージョン
- 「更新オプション」が表示されないこと
Windows Updateも確認する
Office 2016などWindows Installer形式の製品では、Microsoft Update経由で更新される場合があります。
Windows 11では、「設定」→「Windows Update」→「詳細オプション」を開き、「Windowsの更新時にその他のMicrosoft製品の更新プログラムを受け取る」を有効にしておくと、対象となるOffice更新を受け取りやすくなります。(マイクロソフトサポート)
ただし、Microsoft 365などのクイック実行版はOffice側の更新機能を使用します。Windows Updateだけを確認して「Officeも更新済み」と判断しないことが重要です。
修正済みバージョン・ビルドの目安
次の表は、Microsoftが2026年6月9日のOfficeセキュリティリリースで案内したビルドです。これより新しいビルドには、原則として以前の修正も含まれます。
| 製品・更新チャネル | 2026年6月の修正を含む目安 |
|---|---|
| Microsoft 365 Current Channel | バージョン2605、ビルド20026.20168以降 |
| Monthly Enterprise Channel 2605 | ビルド20026.20166以降 |
| Monthly Enterprise Channel 2604 | ビルド19929.20220以降 |
| Monthly Enterprise Channel 2603 | ビルド19822.20288以降 |
| Semi-Annual Enterprise Channel | バージョン2508、ビルド19127.20678以降 |
| Office 2024 Retail | バージョン2605、ビルド20026.20168以降 |
| Office 2021 Retail | バージョン2605、ビルド20026.20168以降 |
| Office LTSC 2024 | バージョン2408、ビルド17932.20842以降 |
| Office LTSC 2021 | バージョン2108、ビルド14334.20756以降 |
| Office 2019 Volume Licensed | バージョン1808、ビルド10417.20153以降 |
| Word 2016 MSI版 | KB5002879 |
Current ChannelとOffice 2024 Retailには、2026年6月16日にビルド20026.20182も公開されています。2026年6月9日の番号に固定するのではなく、利用中の更新チャネルで提供されている最新ビルドを適用してください。(Microsoft Learn)
Word 2016については、CVE-2026-45456とCVE-2026-45458を修正するKB5002879が公開されています。Microsoft Download Centerのパッケージは、MSI形式のWord 2016向けです。クイック実行版に同じパッケージを直接適用しないでください。(マイクロソフトサポート)
Mac版Officeを更新する手順
Mac版Officeでは、入手元によって更新方法が異なります。
Microsoftからインストールした場合
- Wordを開きます。
- メニューバーの「ヘルプ」→「更新プログラムの確認」を選択します。
- 「Microsoftアプリを自動的に最新の状態に保つ」を有効にします。
- 表示されたOfficeアプリをすべて更新します。
Mac App Storeからインストールした場合
- Mac App Storeを開きます。
- 「アップデート」を選択します。
- Wordだけでなく、Outlookを含むMicrosoftアプリをまとめて更新します。
MicrosoftのOffice for Macリリース情報では、2026年6月16日公開のバージョン16.110にCVE-2026-45456とCVE-2026-45458の修正が含まれています。2026年6月19日時点では、16.110以降を目安にしてください。(マイクロソフトサポート)
CVE-2026-47635はMac版の同リリースには掲載されておらず、現在の影響情報ではOffice LTSC 2024のWindows版が対象です。ただし、影響範囲は後から更新されることがあるため、Mac版Officeも常に最新に保つのが安全です。
更新できない間はプレビューウィンドウを一時的に無効化する
すぐに更新できない場合は、クラシックOutlookの閲覧ウィンドウを一時的に無効化すると、プレビューによる攻撃経路を減らせます。
クラシックOutlookで次の順に選択します。
「表示」→「レイアウト」→「閲覧ウィンドウ」→「オフ」
Microsoftの案内でも、閲覧ウィンドウは「表示」タブからオフにできます。(マイクロソフトサポート)
ただし、これは恒久的な修正ではありません。次の操作をすれば、別の経路から脆弱な処理が呼び出される可能性があります。
- 細工されたWord文書を開く
- メールを別ウィンドウで表示する
- 未更新のWordで外部ファイルを処理する
更新が完了したことを確認するまでの一時対策として使用してください。
管理者が確認すべきポイント
企業や学校では、単に「Officeの更新を配布した」だけでなく、更新後のビルド確認まで必要です。
| 確認項目 | 判断基準 | 失敗しやすいポイント |
|---|---|---|
| 資産の洗い出し | 製品名、ビット数、更新チャネル、ビルドを取得 | 「Microsoft Office」という製品名だけで分類する |
| 優先順位 | クラシックOutlookとWordを使用する端末を優先 | Wordを起動しないユーザーを対象外にする |
| 配布 | 各チャネルの6月9日修正版以降を展開 | Current Channelの番号を全チャネルへ当てはめる |
| Mac | バージョン16.110以降を確認 | Windows端末だけ更新する |
| Office 2016 | KB5002879と適用対象の6月更新を確認 | MSI版とクイック実行版を混同する |
| SharePoint | サーバー向け更新を別途展開 | クライアントOfficeの更新だけで完了とする |
| 適用確認 | 更新成功率、実際のビルド、再起動待ちを確認 | 配布ジョブの成功だけで判断する |
| 互換性確認 | Outlookアドイン、文書管理、帳票、OLE連携を試験 | 問題発生時に直ちに全社ロールバックする |
更新を戻すと脆弱な状態へ戻る可能性があります。業務上やむを得ずロールバックする場合は、対象端末のメール閲覧や外部文書の受信経路を制限し、修正版を再適用できるまで隔離する判断が必要です。
更新後に業務アプリからOfficeが開かない場合
Microsoftは、2026年6月9日以降の一部のWindows 11更新について、OLEオートメーションを利用する一部のサードパーティ製アプリからOfficeアプリや文書を開けなくなる問題を案内しています。(マイクロソフトサポート)
業務アプリからだけOfficeを開けない場合は、Officeのセキュリティ更新が原因だと即断せず、次の切り分けを行ってください。
- WordやExcelをスタートメニューから直接起動できるか確認する
- 問題がOffice更新後かWindows更新後かを確認する
- OLE連携を使う業務アプリに限定した問題か確認する
- Microsoftの最新の既知の問題を確認する
セキュリティ更新を無条件にアンインストールするのは避けてください。
料金変更はなく、セキュリティ更新の追加購入も不要
今回のRCE修正は、対応するOffice製品の通常のセキュリティ更新として提供されています。修正プログラムを入手するためだけに、追加オプションや新しいライセンスを購入する必要はありません。
Microsoft 365では、利用中のサブスクリプションに機能更新、修正プログラム、セキュリティ更新が含まれます。今回のCVE公開に伴うプラン料金の変更も案内されていません。(Microsoft)
ただし、古いOfficeからサポート中の製品へ移行する場合は、次の費用を比較する必要があります。
| 移行先 | 費用の考え方 | 向いている環境 |
|---|---|---|
| Microsoft 365 | 月額または年額の継続費用 | 複数端末、クラウド連携、継続的な最新版利用 |
| Office 2024 | 買い切り費用 | 利用端末を限定し、サブスクリプションを避けたい場合 |
| Office LTSC 2024 | 法人向けライセンス費用 | 更新頻度を抑えたい管理環境や閉域環境 |
| Web版Microsoft 365 | 基本機能は無料で利用可能 | 高度なデスクトップ機能やOutlookデスクトップが不要な場合 |
価格だけで比較せず、Outlookデスクトップの有無、利用可能な端末数、OneDrive容量、法人メール、既存アドインとの互換性を確認してください。
Office 2016・2019・2021は移行期限を確認する
Office 2016とOffice 2019
Office 2016とOffice 2019は、2025年10月14日にサポートを終了しています。サポート終了後は、セキュリティ更新や不具合修正が継続的に提供される保証がありません。(Microsoft Learn)
MicrosoftはOffice 2019について、サポート終了後も同社の判断で更新を公開する場合があると説明しています。しかし、これは通常サポートの再開を意味しません。2026年6月の更新を受け取れたとしても、今後も毎月更新されるとは限りません。(Microsoft Learn)
Office 2016にも今回KB5002879が公開されていますが、サポート終了日は変更されていません。更新を適用したうえで、Microsoft 365またはOffice 2024への移行を進めてください。
Office 2021とOffice LTSC 2021
Office 2021とOffice LTSC 2021は、2026年10月13日にサポートが終了します。(Microsoft Learn)
2026年6月時点では更新対象ですが、残り期間は長くありません。企業では、次の作業を今から開始する必要があります。
- 利用中のアドインやマクロの棚卸し
- Office 2024またはMicrosoft 365での動作確認
- 代表端末での試験導入
- ライセンスと予算の確保
- 本番展開と旧Officeの削除
Office 2024とOffice LTSC 2024
Office 2024とOffice LTSC 2024のサポート期限は、2029年10月9日です。今回の修正を含む最新ビルドを適用すれば、直ちに別製品へ移行する必要はありません。(Microsoft Learn)
よくある疑問
添付ファイルを開かなければ安全ですか
安全とは言い切れません。クラシックOutlookでは、プレビューウィンドウでメールを表示する処理が攻撃経路になり得ます。
閲覧ウィンドウをオフにすれば更新しなくてもよいですか
いいえ。閲覧ウィンドウの無効化は一時対策です。Word文書を開くなど、別の操作で脆弱な処理が実行される可能性があります。
マクロを無効にしていれば問題ありませんか
今回の3件はマクロの実行を前提とした脆弱性ではありません。マクロを無効にしていてもOfficeの更新が必要です。
Windows Updateだけで修正できますか
製品によって異なります。Microsoft 365やOffice 2024などのクイック実行版は、Officeアプリ内の「更新オプション」から確認してください。Office 2016のMSI版などは、Microsoft Updateから配布される場合があります。
会社のPCで自分が更新してもよいですか
会社が更新を管理している場合は、個人で更新ファイルを入れず、IT担当者へ連絡してください。「更新オプション」が表示されない端末は、管理対象である可能性があります。
まず更新し、古いOfficeは移行計画を始める
2026年6月のOutlook・Word RCE修正で重要なのは、次の3点です。
- Officeを最新ビルドへ更新する
- すぐ更新できない場合は、クラシックOutlookの閲覧ウィンドウを一時的にオフにする
- Office 2016・2019・2021を使用している場合は、更新と同時に移行を進める
一般ユーザーは、Wordの「ファイル」→「アカウント」→「更新オプション」→「今すぐ更新」から始めてください。会社のPCで更新メニューが表示されない場合は、製品名とビルド番号を添えてIT担当者へ報告するのが次の行動です。
コメント