GitHub、markdown-itの脆弱性3件を掲載、設定別に対策を確認

GitHubの脆弱性情報データベースに、Markdownを画面表示用に変換するmarkdown-itの処理負荷に関する脆弱性3件が掲載されています。標準設定でも起きる問題と、特定の設定で起きる問題があり、利用版と設定を分けた確認が必要です。各勧告の公表日は、資料には記載されていません。

標準設定でも、利用者の入力でサーバーが応答しにくくなる恐れ

CVE-2026-111758は、閉じていないリンク参照のラベルやタイトルを処理する際の問題です。入力が増えると、処理時間が二次関数的に増えます。単純に入力を2倍にすると処理時間も2倍になる、という増え方ではありません。

勧告では、約400 KBの入力でNode.jsの応答が約18秒妨げられ、約800 KBでは処理の進行を担うイベントループが約74秒停止するとしています。標準設定でも発生し、利用者が入力したMarkdownを描画するサーバーで、サービスを使えなくするDoSにつながるリスクがあります。

影響例には、コメント、Wiki、文書プレビュー、LLMチャットUIが挙げられています。問題は14.0.0で導入された変更に起因し、15.0.2でも確認されています。この問題の修正版は、今回の資料には記載されていません。

引用符とHTMLは設定で分岐、15.0.2だけでは判断できない

CVE-2026-111759は、引用符を処理する際に、対応しない引用符の組み合わせを繰り返し走査する問題です。typographer: trueで細工された入力を処理すると、DoSを招く恐れがあります。標準のtypographer: falseは影響を受けません。

この問題は15.0.2と14.3.2で修正済みです。回避策には、typographer: falseへの変更、または引用符処理を担うsmartquotesルールだけの無効化が示されています。

一方、CVE-2026-111766は、html: trueで終端のないHTML構文を繰り返す入力を処理する問題です。対象はHTMLコメント、処理命令、宣言、CDATAセクションです。HTMLを有効にするcommonmarkプリセットも影響を受けます。

こちらは15.0.2で報告されていますが、影響する版の全範囲は未確定です。約500 KiBのコメント入力で32,847 msを要した例があり、ブラウザーでも描画中に応答不能となる恐れがあります。描画後にHTMLを安全な形へ整えるサニタイズを行っても、この処理負荷は防げません。修正までの対策として、HTMLの無効化や入力サイズ制限が挙げられています。

日本での提供は発表には書かれていません。地域別の影響条件も資料には記載されていないため、確認は利用版と処理設定を軸に進めます。

影響する会社・しない会社

• 影響する: 利用者のMarkdownをmarkdown-itで描画する会社です。特にコメント、Wiki、文書プレビュー、LLMチャットUIでは、標準設定でもCVE-2026-111758の確認が必要です。
• 影響する: typographer: trueを使う会社や、html: trueまたはcommonmarkで描画する会社です。引用符処理とHTML解析について、それぞれ別に判定します。
• 影響しない: 標準のtypographer: falseはCVE-2026-111759の影響を受けません。また、HTMLが無効の標準設定はCVE-2026-111766の該当入力の影響を受けません。ただし、どちらも3件すべてへの安全を意味しません。

情シスが今日やること

1. まず、利用箇所と版を洗い出します。 開発担当や委託先に、対象システムの依存関係一覧と実際の導入版の確認を依頼します。コメント、Wiki、プレビュー、LLMチャットUIごとに、利用者の入力が描画処理へ届くかも記録します。
2. 設定を確認する担当者を決めます。 markdown-itを初期化するコードや設定で、typographer、html、commonmarkの指定と、smartquotesの有効・無効を確認します。版番号だけでなく、実際に適用される設定を回答してもらいます。
3. 引用符処理の対策を切り分けます。 該当する場合は、15.0.2または14.3.2の修正情報と照合します。すぐに更新できなければ、開発担当とtypographer: falseへの変更やsmartquotesの無効化を検討します。設定変更後は、必要な表示が崩れないか確認します。
4. HTML解析と標準設定の問題を別件として追跡します。 HTML解析については、無効化や入力サイズ制限を開発担当と検討します。CVE-2026-111758は15.0.2でも確認されているため、引用符処理の更新完了だけで対応済みにしないでください。利用部門と運用担当には、残る問題、暫定対策、次回の確認日を共有します。