多くの日本人エンジニアが一度は使ったことのある定番フリーソフト「サクラエディタ」が、約3年8カ月ぶりとなるv2.4.3を8月下旬にリリースした。ダークモード対応など機能追加と並んで公表されたのが、CVE-2026-59561として登録されたOSコマンドインジェクションの脆弱性だ。CVSS基本値は最大8.4と高く、悪用されればエディタでファイルを開いただけで任意のコマンドが実行されかねない。
「ターミナルを起動」がトラップに変わる #
原因は、編集中のファイルが置かれたディレクトリを起点にシェルを立ち上げる「ターミナルを起動」機能にある。ディレクトリ名の文字列を無害化(サニタイズ)せずにコマンド組み立てに使っていたため、攻撃者が細工した名前のフォルダを用意し、その中に無害に見えるファイルを仕込んでZIP配布やクラウド共有すれば、被害者が「ターミナルを起動」を押した瞬間に任意コマンドが走る仕組みだ。
1. 罠フォルダを配布
コマンドを仕込んだ名前のディレクトリごとZIP配布・共有する。
2. サクラエディタで開く
中の一見無害なファイルを編集対象として開かせる。
3. 「ターミナルを起動」実行
ディレクトリ名がそのままシェルに渡り、任意コマンドが実行される。
フリーソフトゆえの「更新の空白」がリスクを広げる #
サクラエディタは20年以上の歴史を持つ国産テキストエディタで、業務システムの保守やログ閲覧用に組織内で大量導入されているケースも多い。今回のように長期間更新が止まっていたソフトは、ユーザー側も「バージョンを気にしていない」ことが多く、パッチが出ても現場に浸透するまでに時間がかかりやすい。今回はOSコマンドインジェクション以外にも複数の脆弱性が同時に修正されており、影響範囲は広い。
対策
v2.4.3以降へ速やかに更新する。出所不明のディレクトリやファイルを編集する際は「ターミナルを起動」機能の使用を避け、組織で長期未更新の常用フリーソフトを棚卸しすることも有効だ。
COMMENTS 0
No comments yet — be the first to leave one.