Google Chrome CVE-2026-125350ほか6件 — 11月11日の脆弱性まとめ（悪用確認5件）

11月10日（米国時間）のMicrosoft月例更新と、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）のKEV（悪用が確認された脆弱性カタログ）追加分から、日本の中小企業に関係が深いものを7件選びました。最優先は2つです。Google Chrome の CVE-2026-125350（XMLコンポーネントのuse-after-free）は、Googleが「悪用コードが出回っている」と明記しており、Chrome 157.0.8103.50/.51 への更新が必要です。Microsoft Outlook の CVE-2026-124194（スプーフィング）も悪用が確認され、細工したメッセージファイルを開くだけでNTLMv2ハッシュが漏れるおそれがあります。Microsoft 365 Apps / Office の更新を今日中に確認してください。

Barracuda Email Security Gateway（ESG）を使っている組織は、CVE-2026-116606 と CVE-2026-111560 の連鎖で機器の root 権限が取られる可能性があり、Barracuda が一部組織での悪用を確認済みです。CISA の対処期限は11月13日と短く設定されています。なお、前日（11月10日）の記事で扱った OpenSSH などの4件は、今日の一覧には含めていません。

Chromium の XML コンポーネントにあるuse-after-free（解放済みメモリの再利用）の脆弱性です。細工したHTMLページを開くと、ブラウザのサンドボックス内で任意のコードが実行される可能性があります。Chrome のリリースノートには「Google is aware that an exploit for CVE-2026-125350 exists in the wild」と記載されています。Chromium の重大度は High、NVD に掲載された二次評価の CVSS 3.1 は 8.8（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）です。CISA は11月10日に KEV へ追加し、対処期限を11月24日としました。

影響を受けるのは Chrome 157.0.8103.50 より前のバージョンです（NVD の記載）。修正版は Windows・Mac が 157.0.8103.50/.51、Linux が 157.0.8103.50 で、数日から数週間かけて順次配信されます。この更新には9件のセキュリティ修正が含まれ、CVE-2026-125350 は匿名の報告者から11月6日に報告されたものです。Chromium ベースの Microsoft Edge や Opera なども影響を受ける可能性があります。Microsoft Edge のセキュリティリリースノートでは、11月9日付で「悪用の報告を認識しており、修正を準備中」との記載が確認できましたが、この CVE を修正した Edge のバージョンは今回の確認時点では見つかっていません。Edge は Microsoft の公表を待ってください。

確認方法は、Chrome のメニューから「ヘルプ」→「Google Chrome について」を開き、バージョンが157.0.8103.50以上であることを確認し、表示される「再起動」ボタンで更新を反映させます。更新後も再起動しないと古いバージョンのまま動くため、社内の全PCで再起動まで済ませてください。Windows・Mac・Linux 別の確認コマンドや会社での一括更新の方法は、Chrome CVE-2026-125350 の影響確認と対処手順にまとめました。出典: Chrome Releases（Stable Channel Update for Desktop）、CISA KEV。

Outlook がユーザーに警告を出さずに外部のネットワーク先へ接続してしまう脆弱性です。攻撃者が細工したメッセージファイルを送り、利用者が開くと、Outlook が攻撃者の用意したサーバーへ接続し、NTLMv2ハッシュ（ログイン認証に使われる情報）が相手に渡る可能性があります。そのハッシュを使って、利用者になりすまして社内の他のサービスへ認証される恐れがあります。Microsoft の評価は Moderate、CVSS 3.1 は 6.5 です。Microsoft は悪用の事実を確認しており（Exploitation Detected）、CISA も11月10日に KEV へ追加し、期限を11月24日としました。

Microsoft の説明では、プレビューウィンドウは攻撃経路になりません。メッセージファイルを開く操作が必要です。更新はMicrosoft 365 Apps（Enterprise）、Office LTSC 2021（ビルド 16.0.14334.21048）、Office LTSC 2024（ビルド 16.0.17932.21140）が対象です。確認は Outlook の「ファイル」→「Officeアカウント」→「更新オプション」→「今すぐ更新」で行い、Microsoft 365 Apps のセキュリティ更新プログラム一覧でビルドを照合できます。出典: MSRC CVE-2026-124194。

Barracuda の Email Security Gateway（ESG）で、認証なしの攻撃者が設定インポート機能を呼び出し、細工したバックアップを復元して機器全体の設定を書き換えられる脆弱性が CVE-2026-116606 です。Mandiant の資料では、影響を受けるのは 9.4.0.030 より前の ESG で、CVSS 4.0 は 9.3 です。Barracuda の勧告には、11月5日の更新で認証欄が「管理画面へのアクセスが必要」に変更されたと記載されており、管理画面へ到達できることが前提になります。

もう一つの CVE-2026-111560 は、管理者権限を持つ攻撃者がタイムゾーン設定に OS コマンドを埋め込み、root 権限で実行させる脆弱性です。ESG、Load Balancer ADC、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）、Web Security Gateway（WSG）が影響を受け、CVSS 4.0 は 8.6（Mandiant）です。Barracuda は、2つを組み合わせると認可を回避して root 権限を取得できると説明し、11月9日の更新で「少数の組織への悪用活動を確認した」と記載しています。CISA は両方を11月10日に KEV へ追加し、期限は11月13日です。フォレンジック（痕跡調査）の実施も求められています。

対処は、ESG は BNSF-40425（9.4.017以降）または BNSF-40430（9.4.017より前）、ADC・WAF は BNADC-16586、BMA は BNMA-32468、WCC は BNWF-60060、WSG は BNYF-24789 の適用です。自動パッチが無効だと適用されないため、機器の管理画面でファームウェアとパッチの適用状況を確認し、手動適用か自動パッチの有効化を行ってください。管理画面はインターネットに公開せず、社内の信頼できるネットワークに限定することが推奨されています。Barracuda の公開ページには侵害の痕跡（IOC）は掲載されていないため、悪用の有無はベンダーのサポートに確認するのが確実です。出典: Barracuda 勧告、Mandiant MNDT-2026-0042。

11月の月例更新（Microsoft の公開データでは約1,360件の記載）のうち、悪用が確認されたのは Outlook の1件のみです。そのほか、重大度が Critical で CVSS 9.8 のものが2件あります。1つ目は Windows LDAP の CVE-2026-119958 で、境界外書き込みにより、認証なしの攻撃者が細工した LDAP 呼び出しで LDAP サービスの権限でコードを実行できるおそれがあります。Active Directory のドメインコントローラーなどが対象になる点に注意が必要です。2つ目は Windows Search の CVE-2026-116928 で、Exchange Server が使う Windows Search コンポーネントが、添付ファイルのインデックス処理で攻撃を受けるものです。Microsoft の説明では、受信者がメールや添付ファイルを開かなくても処理が始まります。

どちらも Microsoft の評価は「悪用の可能性は低い（Exploitation Less Likely）」で、現時点で悪用は確認されていません。ただし CVSS 9.8（AV:N/AC:L/PR:N/UI:N）で、認証も操作も不要という条件のため、サーバーの更新は後回しにしないことが重要です。修正は11月の累積更新に含まれ、例えば Windows Server 2022 は KB5131090（10.0.20348.5870）、Windows Server 2019 は KB5131085（10.0.17763.9487）、Windows Server 2016 は KB5131291（10.0.14393.9688）、Windows 10 22H2 は KB5131096（10.0.19045.7846）、Windows 11 23H2 は KB5131087（10.0.22631.7711）、Windows 11 24H2・25H2 は KB5132061（それぞれ 10.0.26100.9974、10.0.26200.9974）です。Exchange Server については、別の CVE-2026-118207（リモートコード実行・CVSS 8.8・悪用は未確認）に対する更新 KB5133453（15.02.2562.057）も出ています。Windows のバージョンは「設定」→「システム」→「バージョン情報」、またはコマンドの winver で確認できます。出典: MSRC CVE-2026-119958、MSRC CVE-2026-116928。

Cisco BroadWorks の OCI-P サービスにある XML パーサーの不備（XXE）で、認証なしの攻撃者が細工した XML を送ると、BroadWorks ユーザー権限で参照できるファイルの内容を読み取られるおそれがあります。Cisco の評価は CVSS 3.1 で 7.5（High）です。影響を受けるのは RI.2026.07 より前の BroadWorks Application Delivery Platform、Application Server、Profile Server、Xtended Services Platform で、修正版は RI.2026.07 です。回避策はありません。

CISA は11月10日に KEV へ追加しましたが、Cisco の勧告（2026年8月19日公開の版）には「悪意ある使用を把握していない」と書かれています。つまり、KEV 追加の根拠となる悪用情報は公開資料では確認できません。BroadWorks は主に通信事業者や大規模なクラウド電話サービスで使われ、一般の中小企業が自社運用していることは多くありません。クラウド電話サービスを契約している場合は、提供事業者が対処済みかを確認してください。出典: Cisco セキュリティアドバイザリ。

- 全員のPCで Chrome を開き、「Google Chrome について」から更新と再起動を行う（157.0.8103.50以上）
- Edge を使っている場合は、更新が来ているか確認し、Microsoft の公表を待つ
- Outlook を含む Microsoft 365 Apps の更新を実行し、Outlook を再起動する
- 出どころの不明なメッセージファイルやOfficeファイルは、開く前に送信元へ確認する
- Barracuda 製品（ESG・WAFなど）を使っている場合は、至急パッチ適用を確認する（米CISAが連邦機関に課した期限は11月13日）。管理画面を外部に公開しない
- Windows Update を実行し、Windows Server・ドメインコントローラー・Exchange Server のサーバー担当者に11月の更新適用を依頼する
- 自社で保守している機器のメーカーやベンダーに、上記製品の使用有無と対応状況を確認する

- Chrome CVE-2026-125350 の影響確認と対処手順
- 中小企業のパッチ・アップデート管理ガイド
- 脆弱性診断の費用相場
- 前日の脆弱性まとめ（OpenSSH ほか）

- Chrome Releases: https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html
- CISA KEV カタログ: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NVD CVE-2026-125350: https://nvd.nist.gov/vuln/detail/CVE-2026-125350
- MSRC CVE-2026-124194: https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-124194
- MSRC CVE-2026-119958: https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-119958
- MSRC CVE-2026-116928: https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-116928
- Microsoft Edge セキュリティリリースノート: https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security
- Barracuda 勧告: https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection
- Mandiant MNDT-2026-0042: https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md
- Cisco cisco-sa-bworks-xxe-uwUd7CEt: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bworks-xxe-uwUd7CEt