Microsoft 365は、ハッカーによる悪用が多発しているためActiveXを無効化します

Microsoft Office は、ドキュメントの拡張性と自動化のオプションとして長年 ActiveX をサポートしてきましたが、これは重大なセキュリティ上の脆弱性でもあります。現在、マイクロソフトは、昨年の Office 2024 スイートでの同様の動きに続き、ついに Microsoft 365 アプリで ActiveX を無効化し始めています。

重要なセキュリティの変更

今月から、Microsoft 365 の Windows 版の Microsoft Word、Excel、PowerPoint、Visio では、通知を表示せずにすべての ActiveX コンテンツが既定で無効になります。 Office の Mac 版および Web 版では、ActiveX はサポートされていません。

マイクロソフトはブログ投稿で、 「以前のデフォルト設定では、潜在的に危険なActiveXコントロールをユーザーが有効にすることができ、ソーシャルエンジニアリングや悪意のあるファイルを通じてハッカーに悪用される可能性がありました。新しいデフォルト設定では、これらのコントロールを完全にブロックし、マルウェアや不正なコード実行のリスクを軽減することで、より安全になっています」と述べています。

この変更は Microsoft Office 2024 で展開されましたが、現在はサブスクリプションベースの Microsoft 365 アプリにも適用されます。この機能は現在、バージョン 2504 (ビルド 18730.20030) 以降のベータ チャネルで利用可能で、まもなくすべての Windows ユーザーに展開される予定です。

ActiveXが完全に削除されていない

ActiveX が Office アプリケーションから完全に削除されるわけではないことに注意することが重要です。一部の組織ではこの機能がまだ有効になっている場合がありますが、個々のアカウントでは、
[ファイル] > [オプション] > [セキュリティ センター] > [セキュリティ センターの設定] > [ActiveX の設定] > [すべてのコントロールを最小限の制限で有効にする前に確認する] に移動して再度有効にすることができます。

Microsoft は 1996 年に ActiveX の最初のバージョンをリリースし、Internet Explorer および Office ドキュメントの Web ページに複雑なコードやインタラクティブなコンテンツを埋め込むことができるようになりました。たとえば、ActiveX では、クリックするとドキュメントを変更したり外部アクションを実行したりできるボタンやチェックリストを Office ドキュメント内に作成できます。

ActiveX には正当な用途もありますが、フィッシングやマルウェア攻撃で悪名が知られています。一見安全そうな Word または PowerPoint ドキュメントで Windows の設定やファイルを変更できてしまう ActiveX の脆弱性が複数存在します。これは、Internet Explorer では頻繁に発生するセキュリティとプライバシーの脅威ですが、Microsoft Edge では発生していません。

Microsoft は以前、Office アプリケーションを更新して ActiveX コンテンツを自動的に実行しないようにしましたが、一部の悪意のあるファイルは依然としてユーザーを騙して「コンテンツの有効化」ボタンをクリックさせる可能性があります。 Microsoft がこのオプションをデフォルトで削除すると、絶対に必要な場合に ActiveX の実行を許可しながらも、攻撃を減らすことができるはずです。

上記の変更は、ActiveX が Office から完全に削除される前の最終ステップであると思われますが、それがいつ行われるか (または行われるかどうか) は不明です。一部のドキュメントは ActiveX でのみ正常に動作し、Microsoft の新しいアドイン プラットフォームは完全な代替品ではありません。

ActiveX を無効にすることは、特にフィッシングやマルウェア攻撃がより巧妙化する中で、セキュリティ リスクを軽減するための Microsoft の取り組みにおけるもう 1 つのステップです。