米Microsoftのセキュリティ・チーム「Microsoft Security Response Center（MSRC）」は6月16日，Microsoft Excelに新たなセキュリティ・ホールが見つかったことを明らかにした。このセキュリティ・ホールを悪用した攻撃が既に報告されているという。

　今回明らかにされたのは，Excelの文書ファイルを開くだけで，ファイルに仕込まれた悪質なプログラムを実行させられる危険なセキュリティ・ホール。実際，あるユーザーからは，今回のセキュリティ・ホールを悪用する攻撃を受けたとする報告が寄せられているという。この攻撃では，セキュリティ・ホールを悪用するファイルが，メールに添付されて送られた模様。

　MSRCでは，セキュリティ・ホールの詳細を明らかにしていない。また，修正パッチ（セキュリティ更新プログラム）も未公開。他のベンダーやユーザーからも公表されていないセキュリティ・ホールである。このため今回の攻撃は，いわゆる“ゼロデイ”攻撃といえる。

　現時点での対策としては，「自分が要求していないのに送られてきた添付ファイルについては，その送信元が知っている人物（企業／組織）であっても，安易に開かないこと」を挙げている。

　また，今回のセキュリティ・ホールを悪用するファイルは，同社の「Windows Live Safety Center」を利用すれば検出・駆除できるという。同社とアライアンスを結んでいるセキュリティ・ベンダーとも情報共有しているので，それらのウイルス対策ソフトでも，最新のウイルス定義ファイル（パターンファイル）を利用していれば検出・駆除できるとしている。MSRCでは明言していないが，米国のメディアなどによれば，例えば米Symantecのウイルス対策ソフトでは，「Downloader.Booli.A」として検出されるという。

　1カ月ほど前にも，Microsoft Wordのセキュリティ・ホールを突くゼロデイ攻撃が出現している（関連記事：Microsoft Wordにパッチ未公開の脆弱性）。メールで送られてくるウイルスのほとんどは実行形式ファイルだが，それ以外のファイル形式でも油断はできない状況である。覚えがないのに送られてきたファイルについては，ファイルの種類やメールの送信元にかかわらず，十分注意する必要がある（関連記事：「メールの送信者名は偽装できる，添付ファイルは安易に開くな」）。

◎参考資料
◆Reports of a new vulnerability in Microsoft Excel