GNOME Projectのlibsoupに関する脆弱性4件が、JVN iPediaに掲載されています。うちCVE-2026-102555の掲載日は2026年10月16日です。4件ともlibsoup 3.7.3未満が対象で、情報漏えいや処理停止などの恐れがあり、利用企業は導入状況とベンダの対策情報を確認する必要があります。
4件の脆弱性で異なる攻撃条件
CVE-2026-102555は、本来の範囲を超えてメモリーを読み取る「境界外読み取り」の脆弱性です。細工したデータURIを処理すると、情報漏えいや停止につながる恐れがあります。JVN iPediaによると、ネットワーク経由の攻撃に特権や利用者の関与は不要です。
脆弱性の深刻さを示すCVSS v3基本値は8.2で、評価は「重要」です。利用者が操作しなければ問題ないと判断せず、対象の有無を調べる必要があります。
残る3件のCVSS v3基本値はいずれも8.6で、評価は「重要」です。ただし、発生条件は同じではありません。
- CVE-2026-102556：双方向通信の仕組みであるWebSocketのPong通知で、宣言と異なる型のポインタを渡す不具合です。該当する処理では、細工したPongによってメモリー領域の破損や停止が起きる恐れがあります。
- CVE-2026-102557：分割されたWebSocketメッセージを組み直す際、総サイズの制限が不十分です。細工した断片を受信すると、メモリー領域の破損や停止につながる恐れがあります。
- CVE-2026-102558：受信サイズの設定「max-incoming-payload-size」が無制限を意味する0の場合に発生します。受信バッファ長の桁あふれにより、確保したメモリー領域を超えて書き込む不具合が起きます。
Red Hat Enterprise Linuxは対象の違いに注意
JVN iPediaでは、CVE-2026-102555の影響対象にRed Hat Enterprise Linux 9.0、10.0を挙げています。ほかの3件では、7.0、8.0、9.0、10.0が対象に含まれます。
この違いから、1件の対象一覧だけを見て4件すべての確認を終えるのは避けたいところです。OSの版とlibsoupの利用版を記録し、脆弱性の識別番号であるCVE番号ごとにベンダ情報と照合する進め方が適切です。
また、今回の事実に示されたのは「3.7.3未満」という影響範囲です。具体的な配布パッケージの修正版や更新手順は示されていません。JVN iPediaは、ベンダ情報を確認して適切な対策を取るよう案内しています。
影響する会社・しない会社
- 影響する: libsoup 3.7.3未満を利用している会社。対象一覧にあるRed Hat Enterprise Linuxの利用企業も、該当パッケージの有無を確認する必要があります。
- 影響する: 対象版でmax-incoming-payload-sizeを0にしている環境は、CVE-2026-102558の発生条件に当たります。WebSocketを扱う環境では、ほかの2件についても利用箇所を確認してください。
- 影響しない: libsoupを利用していない環境は、今回示された対象には当たりません。3.7.3以上も、今回の4件で示された影響範囲には含まれません。
情シスが今日やること
- 今日の棚卸しで、IT資産管理のソフトウェア一覧からlibsoupとRed Hat Enterprise Linuxを探します。対象端末・サーバー、導入版、管理担当者を記録してください。管理ツールごとの画面名や確認操作は、発表には書かれていません。
- 対象が見つかったら、OSの保守担当者や委託先に4件のCVE番号をまとめて渡します。ベンダの脆弱性情報で、自社の配布パッケージが対象か、対策済みかを確認するよう依頼してください。
- アプリケーションの担当者に、WebSocketを扱う箇所とmax-incoming-payload-sizeの設定値の確認を依頼します。0でなければ4件すべて対象外になるわけではないため、設定確認だけで調査を終えないよう伝えます。
- 更新を実施する前に、ベンダが示す対策方法を確認します。対象システムの業務担当者と作業日時、動作確認の担当を決め、対応後は適用結果を台帳に残してください。資料には対応期限の記載がないため、社内の期限は別途決める必要があります。
