マイクロソフトは16日、Excelに未修正の脆弱性があるとしてアドバイザリを公開した。この脆弱性が悪用されると、任意のコードを実行されるおそれがある。影響を受けるのは、Excel 2000/2002/2003 SP2以前、Excel Viewer 2003、Excel 2004 for Mac。すでにこの脆弱性を悪用した攻撃が確認されているが、攻撃の範囲は限定されているという。
マイクロソフトによると、不正な形式のヘッダー情報を含む特別な細工がされたExcelファイルを開いた場合、システムメモリが破壊され、攻撃者により任意のコードが実行されるおそれがある。Excel 2003 SP3/Excel 2007、Excel 2008 for Macはこの脆弱性の影響を受けない。また、Excel 2003の場合、MOICE(Microsoft Office Isolated Conversion Environment)を使うとこの脆弱性を回避できる（※1）。
マイクロソフトでは現在この問題を調査中だとしており、修正パッチはまだ公開されていない。同社は回避策として、信頼できないExcelファイルを開いたり保存したりしないことを挙げている（※2）。
【技術解説】
※1）
MOICEを使うと、バイナリ形式の古いOfficeファイルがOpen XML形式に変換され、その過程で不正なバイナリ等が取り除かれるため、変換後のファイルはクリーンな状態となる。ただし、PowerPoint 97等の古いOfficeファイルや、パスワードが付いているOfficeファイルを開けなくなる、マクロが削除される等のデメリットも存在するので、導入前に検討が必要だ。
※2）
Excel 2000も含め、Office 2000を使っている場合は、「Officeファイルを開くときに確認するツール」（下記参照）を使うとよい。Ofice 2000を使っている場合、Internet Explorer上でOfficeファイルをクリックすると自動的にこれを開いてしまうが、同ツールを使用すると、Office 2002以降と同様に、ファイルを開く前に[開く]、[保存]または[キャンセル]の確認画面が表示されるようになる。
（2008/01/17 ネットセキュリティニュース）
■ セキュリティ アドバイザリ(947563)
Microsoft Excel の脆弱性により、リモートでコードが実行される（マイクロソフト）
http://www.microsoft.com/japan/technet/security/advisory/947563.mspx#EKF
■ セキュリティ アドバイザリ (937696)
Microsoft Office Isolated Conversion Environment(MOICE) およびMicrosoft Office向けファイルブロック機能の公開（マイクロソフト
http://www.microsoft.com/japan/technet/security/advisory/937696.mspx
■ Officeファイルを開くときに確認するツール
http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=8B5762D2-077F-4031-9EE6-C9538E9F2A2F