LINE PC版インストーラにDLL読み込みの脆弱性、CVSS最大8.4 「同梱型」配布に注意

発端：インストーラそのものに穴 #

JPCERT/CCが2026年8月10日に公開した JVN#40467227（CVE-2026-13133）は、LINEヤフーが配布するLINE PC版（Windows版）のインストーラに存在するDLL読み込みの脆弱性だ。CVSSv4基本値は8.4、CVSSv3でも7.8と深刻度は「高」に区分される。影響を受けるのはバージョン26.4.0より前のすべてのインストーラで、対策は最新版への更新のみ。日本国内で数千万規模のアクティブユーザーを抱えるアプリだけに、影響範囲の広さは見過ごせない。

「ローカル攻撃」を侮れない理由 #

脆弱性の分類はCWE-427「ファイル検索パスの制御不備」、いわゆるDLLサーチオーダーハイジャッキングだ。Windowsのアプリケーションは実行時に必要なDLLを、実行ファイルのあるディレクトリ→システムディレクトリ→PATH…という一定の順序で探しに行く。インストーラがこの検索順序を制御していないと、悪意あるDLLを実行ファイルと同じフォルダに置くだけで、正規のDLLより先に読み込まれてしまう。

JVNの表記では攻撃条件は「ローカル」だが、管理者権限が要るという意味ではない。典型は、非公式サイトで配布される改変済みインストーラや、圧縮ファイルにインストーラと偽装DLLを同梱する「バインド」型の配布だ。

ダウンロードサイトの改ざんやtorrent配布経由のソフトウェアバンドルは国内でも珍しくなく、公式ルート以外で入手したインストーラが攻撃の起点になり得る。

開発者・利用者双方への教訓 #

MicrosoftはSetDllDirectoryなどでDLL検索パスを固定化する対策を長年推奨してきたが、インストーラ実装では見落とされがちだ。開発者には「配布物すべてが署名検証済みの正規チャネルを通るとは限らない」という前提のセキュアコーディングが改めて問われる。

利用者側の対応はシンプルで、LINE PC版を26.4.0以上へ更新すること、インストーラは必ず公式サイトから入手し、出所不明な圧縮ファイルやミラー経由のものを実行しないことに尽きる。国民的アプリの「信頼されやすい入口」を悪用する手口は今後も繰り返されるとみるべきだろう。