GNU ProjectのUnRTFに脆弱性、旧版の利用確認と更新を

JVNは2026年10月20日、GNU Projectが提供するUnRTFの脆弱性情報を公開しました。UnRTF 0.21.12より前の版では、細工されたRTFファイルをユーザーが開くと、サービス不能になる可能性があります。JVNは開発者の情報に基づき、最新版への更新を呼びかけています。

細工されたRTFファイルでサービス不能の恐れ

今回の脆弱性は、プログラムが本来の範囲を越えてメモリーに書き込む「境界外書き込み」です。分類はCWE-787、識別番号はCVE-2026-109831です。

JVNが示した影響は、細工されたRTFファイルをユーザーが開いた場合に、DoS状態になる可能性があるというものです。DoSは、サービスを正常に利用できなくなる状態を指します。RTFファイルを扱う業務では、まずUnRTFを使っているか、その版が対象に当たるかを確認することが出発点になります。

JVNが示す深刻度の評価指標「CVSS」の基本値は、v4.0で5.1、v3.0で5.4です。異なる評価方式による数値のため、社内の対応票には方式も併記すると混同を避けられます。点数だけで判断せず、対象のUnRTFをどの業務で使い、どのようなファイルを開くのかも整理してください。

対象は0.21.12より前、更新先は最新版

影響を受ける範囲は、UnRTF 0.21.12より前のバージョンです。一方、JVNが案内する対策は、開発者の情報に基づく最新版へのアップデートです。「影響範囲の境界となる版」と「更新時点の最新版」を分けて確認する必要があります。

この情報は、IPAへの報告を受け、JPCERT/CCが開発者と調整して公開されました。利用部門や委託先に確認を依頼する際は、CVE-2026-109831とJVN#29783594を添えると、どの問題についての問い合わせかをそろえられます。

公表された影響はサービス不能の可能性です。情報漏えいや不正アクセスが発生したとの説明に置き換えず、社内への連絡でも、確認されている影響と自社での調査結果を分けて扱ってください。

影響する会社・しない会社

• 影響する: UnRTF 0.21.12より前の版を利用している会社です。細工されたRTFファイルをユーザーが開くことが、JVNの示す影響の条件です。
• 影響する: UnRTFを利用しているものの、導入版が分からない会社は確認が必要です。利用しているという情報だけでは、対象かどうかを判断できません。
• 影響しない: UnRTFを利用していない会社は、今回示された製品の対象には当たりません。ただし、利用の有無が未確認なら、対象外とは決めずに調査してください。
• 影響しない: UnRTF 0.21.12以降は、今回示された対象範囲には含まれていません。これは、ほかの脆弱性も含めた安全性を保証するものではありません。

情シスが今日やること

1. 資産台帳とソフトウェア一覧で利用先を探します。 今日の一次確認では、管理対象のソフトウェア一覧からUnRTFを探し、利用先、導入版、管理担当者を記録してください。今回の情報には管理画面の操作手順はないため、普段の資産管理手順で確認します。
2. 版が不明な利用先を担当者に照会します。 システム担当者や、管理を任せている場合は委託先に、UnRTFの有無と版を確認してもらいます。回答には識別番号を添え、未確認と対象外を分けて管理してください。
3. 対象の旧版は最新版への更新を手配します。 更新担当者に開発者の情報を確認してもらい、更新先の版と作業予定日を決めます。社内の対応票には、影響範囲が0.21.12未満であることと、推奨対策が最新版への更新であることを別々に記載します。
4. 更新後の確認まで記録を残します。 担当者から更新後の版と業務での動作確認結果を受け取り、対応を完了にします。未更新の利用先が残る場合は、利用部門に対象であることと更新予定を知らせ、担当者・予定日を追える状態にしてください。