FreeRDPに脆弱性38件 3.32.2で修正、組み込んだ機器も確認を

リモートデスクトップの仕組み(RDP)をオープンソースで作るFreeRDPの開発チームは、2026年10月19日と20日に、GitHubで脆弱性の勧告を38件公開しました。ドイツのCERT-Bundも、19日に深刻度「中」、20日に「高」の注意情報を出しています。

38件は、どれも3.32.1以前が対象です。直った版の3.32.2は、10月12日にGitHubで公開されています。この記事の内容は、2026年10月21日に開発チームの勧告とリリースで確かめたものです。

38件の内訳

38件のうち、深刻度がHighは11件、Moderate(中)は27件です。勧告の題名から、どの部品で、どんな問題が起きるかを分けると、次のとおりです。

いちばん多いのはクライアントの問題で、30件あります。勧告の多くは、悪意のあるRDPのサーバーやゲートウェイにつないだときに、クライアントが落ちる、メモリが壊れる、CPUやメモリを使い切るといった問題です。サーバー(FreeRDPのサーバーやshadowサーバー)の問題が4件、プロキシの問題が4件あります。

Highの11件は、次のとおりです。

証明書の確かめの漏れは、つなぐ先のサーバーが本物かを見分ける仕組みに関わります。偽のサーバーに通信を横取りされたときに、気づけない恐れがあります。

3.32.2は不具合と脆弱性を直す版

FreeRDPの公式サイトのお知らせは、3.32.2を「不具合と脆弱性を直す版」と説明しています。セキュリティの研究者から多くの指摘を受け、悪意のあるクライアントやサーバーからのメッセージに対して、コードを大きく固めたとしています。

勧告の修正版の欄は、ほとんどが3.32.2です。3件は「3.22.2」と書かれていますが、対象を3.32.1以前としているため、3.32.2以降を目安にします。勧告には、10月21日時点でCVEの番号が付いていません。悪用の記載も無く、米CISAの悪用が確認された脆弱性の一覧(KEV)にもFreeRDPは載っていません。

なお、CERT-Bundは同じ時期に、FreeRDPの過去の注意情報3件(3.31.0、3.32.0、3.32.1の分)も更新しています。中身は、すでに出ていた修正にCVEの番号を足したものです。

影響する会社・しない会社

• 影響する: Linuxの端末で、FreeRDPを使うリモートデスクトップの接続の道具を使っている会社です。悪意のあるサーバーやゲートウェイにつなぐと、端末の側で問題が起きる恐れがあります。
• 影響する: シンクライアントやVDIの端末、RDPのゲートウェイやプロキシなど、FreeRDPを中に組み込んだ機器や製品を使っている会社です。製品のメーカーの更新を待つ必要があります。
• 影響する: FreeRDPのサーバーやプロキシを、自社で動かしている会社です。認証の前の要求で落とされる問題があります。
• 影響しない: Windowsに入っているMicrosoftのリモート デスクトップ接続だけを使っている会社は、この勧告の対象ではありません。FreeRDPとは別の製品です。

情シスが今日やること

1. 社内のLinuxの端末で、リモートデスクトップの接続にどの道具を使っているかを確かめます。パッケージの一覧で、FreeRDPの部品(freerdpやlibfreerdpなど)が入っているか、版はいくつかを見ます。
2. シンクライアント、VDIの端末、RDPのゲートウェイやプロキシの機器が、中でFreeRDPを使っているかを、メーカーの資料や窓口で確かめます。使っているなら、更新の予定を聞きます。
3. FreeRDPを自分で入れている場合は、3.32.2以降に上げます。Linuxのディストリビューションの部品を使っている場合は、配布元の更新が出たら当てます。
4. 更新までの間、社外や知らないRDPのサーバーへの接続を控えるよう、利用者に伝えます。つなぐ先を、社内で決めたサーバーとゲートウェイに絞ります。
5. 接続のときに出る証明書の警告を、そのまま進めないよう伝えます。今回は証明書の確かめの漏れも直っているので、更新のあとに警告が増えたら、つなぐ先の証明書を確かめます。