【要点】
◎MS OfficeのゼロデイCVE-2026-21509 が悪用中。細工OfficeでOLE緩和策を回避する恐れがあり、Office 2016/2019向け更新も提供 (Security NEXT)
【脆弱性内容】
| 公開日 |
登録日 |
CVE番号 |
NVD |
ベンダー |
CVSS v3 |
CWE |
脆弱性 |
KEV |
備考 |
|---|---|---|---|---|---|---|---|---|---|
| 2026/01/26 | 2025/12/30 | CVE-2026-21509 | NVD | Microsoft | 7.8(Microsoft) |
CWE-807 | セキュリティ決定の信頼できない入力への依存 | 2026/01/26 | MS Office |
【要約】
Microsoftは2026年1月26日、Officeのセキュリティ機能を回避し得るゼロデイCVE-2026-21509を公表し、悪用を確認した。細工されたOfficeファイルを開くと、セキュリティ判断が信頼できない入力に依存することでOLEの緩和策をバイパスされる恐れがある（プレビューウィンドウは対象外）。CVSSv3.1は7.8でImportant。Office 2021以降はサービス側変更で対応済みで、アプリ再起動により自動的に保護される。Office 2016/2019は当初準備中だったが同日更新で修正パッチ提供開始を明らかにし、自動更新の有効化が推奨。暫定策としてレジストリ設定も案内されている。
【ニュース】
◆「MS Office」にゼロデイ脆弱性、すでに悪用も - アップデートを公開 (Security NEXT, 2026/01/27)
https://www.security-next.com/180171
【関連まとめ記事】
◆全体まとめ
◆アプリケーション (まとめ)
◆MS Office (まとめ)
◆CVE-2026-21509 (まとめ)
https://vul.hatenadiary.com/entry/CVE-2026-21509
