Topic: CVE-2026-21509 MS Office RCE
Context: State-sponsored Zero-day Exploitation
Risk_Level: Critical (CVSS 9.8)
本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
CVE-2026-21509：Microsoft OfficeのゼロデイRCEを標的とした国家的攻撃への緊急対応マニュアル
【脅威の概要と背景】
CVE-2026-21509は、MS Officeの特定コンポーネントにおけるリモートコード実行（RCE）の脆弱性です。2026年Q1に公開され、国家支援型攻撃グループによる即時の悪用が確認されています。
【攻撃シナリオの可視化】
攻撃者は、細工されたOffice文書をメール等で送付し、ユーザーが「保護ビュー」を回避またはプレビュー機能を利用した瞬間にコードを実行させます。
graph TD
A["攻撃者: 国家支援型APT"] -->|標的型メール| B("細工された.docx/.xlsx")
B -->|プレビューまたは展開| C{CVE-2026-21509}
C -->|メモリ破損を誘発| D["コード実行"]
D -->|権限昇格| E["永続化・C2通信"]
E -->|機密情報の窃取| F["内部ネットワーク横展開"]
【安全な実装と設定】
本脆弱性はアプリケーション側の不備であるため、管理者はレジストリやグループポリシー（GPO）を通じた「攻撃表面の縮小（ASR）」および「機能の制限」による緩和策を講じる必要があります。
1. 脆弱な設定（デフォルト状態）
Officeのプレビュー機能やマクロ実行が制限されていない場合、ファイルを開かずともプレビューウィンドウが表示されただけで発症するリスクがあります。
2. 安全な代替案（PowerShellによる緩和策）
プレビューハンドラーの無効化および、インターネットから取得したファイルの実行制限を強制します。
# 1. プレビューハンドラーを無効化する緩和策 (Wordの例)
# 特定のCLSIDを無効化することで、エクスプローラー上での自動発火を防止
$registryPath = "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\PreviewHandlers"
$clsid = "{84F71F14-DE73-4581-8051-73C123EE0B4C}" # 仮のコンポーネントID
Remove-ItemProperty -Path $registryPath -Name $clsid -ErrorAction SilentlyContinue
# 2. インターネットから取得したOfficeファイルのマクロ実行を強制ブロック
# GPOでの設定が推奨されるが、レジストリでも制御可能
$officePath = "HKCU:\Software\Policies\Microsoft\Office\16.0\common\security"
if (!(Test-Path $officePath)) { New-Item -Path $officePath -Force }
Set-ItemProperty -Path $officePath -Name "blockcontentexecutionfrominternet" -Value 1 -Type DWord
# 3. 最小権限原則の適用
# Officeプロセスからの子プロセス生成を監視/制限（ASRルール）
# Add-MpPreference -AttackSurfaceReductionRules 76330444-1234-5678-abcd-123456789012 -AttackSurfaceReductionRulesAction Enabled
【検出と緩和策】
EDR/SIEMでの検知ポイント
親プロセスの異常:
winword.exe,excel.exe,powerpnt.exeがcmd.exe,powershell.exe,wscript.exeを起動している。不審な書き込み:
%AppData%または%Temp%フォルダへの実行形式ファイル（.exe, .dll, .vbs）の書き出し。ネットワーク: Officeプロセスが外部の未知のIPアドレスに対し、HTTP/HTTPS以外の非標準ポートで通信を試行。
応急的な緩和策（Workaround）
Outlookのプレビュー停止: Outlookの「トラストセンター」で「添付ファイルのプレビューをオフにする」を有効化。
ネットワーク分離: 攻撃が確認されたセグメントのインターネットアクセスを一時的に制限し、C2通信を遮断。
【実務上の落とし穴】
可用性とのトレードオフ: プレビュー機能を無効化すると、事務部門の業務効率が著しく低下し、クレームが発生するリスクがあります。事前に影響範囲を特定してください。
誤検知（False Positive）: 業務で利用しているVBAマクロや、外部連携アドインが「攻撃」と誤認され、正常な業務フローが停止する可能性があります。
パッチの依存関係: セキュリティ更新プログラムを適用する際、特定のアドイン（古いERP連携ツール等）がクラッシュする事例が報告されています。
【まとめ】
組織のセキュリティ担当者は、以下の3点を最優先で実施してください。
即時パッチまたは緩和策の適用: Microsoft公式のアドバイザリに基づき、最新の累積更新プログラムを適用。適用できない場合は、レジストリによるプレビュー機能の無効化を実施。
EDRアラートの監視強化: Officeプロセスを親とする異常な挙動（プロセスツリー）がないか、過去48時間に遡ってハンティングを実施。
従業員への注意喚起（実効性重視）: 「心当たりのないファイル」だけでなく、「信頼できる送信者からの急な添付ファイル」もプレビューせずに削除、または安全な環境で確認するよう徹底。
参考文献:
Microsoft Security Update Guide: https://msrc.microsoft.com/update-guide/
JPCERT/CC 注意喚起: https://www.jpcert.or.jp/
NIST National Vulnerability Database (NVD): https://nvd.nist.gov/
