AnyDeskに深刻な脆弱性、実証コードも公開 - 6月の更新で修正
AnyDeskに深刻な脆弱性、実証コードも公開
リモートデスクトップソフトは、離れた場所にある端末を手元のPCから操作できる便利なツールとして、業務の効率化や在宅勤務の場面などで広く使われています。その一方で、こうしたツールは外部から端末へ接続する入口になるため、脆弱性が発見された際の影響は小さくありません。今回、AnyDesk Softwareが提供する「AnyDesk」に深刻な脆弱性が明らかとなりました。6月の更新で修正されていたものの、公開当初は言及されていなかったとのことです。すでに実証コードも公開されており、注意が必要となります。
脆弱性の内容と評価
セッション通信におけるパケットの処理に不備があり、ヒープベースのバッファオーバーフローが生じる脆弱性「CVE-2026-109390」が明らかとなりました。
受信したパケットに含まれるデータ長を適切に検証していないことに起因します。認証を必要とすることなく、域外のメモリへ書き込みが可能となるものです。認証なしにメモリ領域へ不正な書き込みができるという性質は、攻撃者にとって敷居が低く、影響が広範囲に及ぶ可能性がある点で注意すべき特徴といえます。
CVE番号を採番したMITREは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」相当と評価しています。CVSSのスコアは10点満点で、9.8という値は最上位に近い深刻度を示すものです。自組織でAnyDeskを利用している場合は、該当バージョンかどうかを早めに確認しておきたいところです。
修正状況と実証コード
現地時間2026年6月23日にリリースされた「同8.0.3」で修正済みです。更新履歴などでは言及されていなかったとのことです。その後も更新されており、同年9月23日には「同8.1.0」がリリースされています。
同脆弱性に関しては、「AnyDesk 8.0.2」のLinux版において、TCP 7070番ポートへ直接接続できる環境で、root権限で動作するサービスを通じて任意のコマンドが実行できる実証コードが公開されています。実証コードが存在するということは、攻撃の再現が容易になり得ることを意味します。特にLinux環境で該当ポートが外部に露出している構成では、優先的に対応を検討する必要があるでしょう。
今回の公表で判明していること
AnyDeskの脆弱性CVE-2026-109390は、CVSSv3.1でベーススコア9.8のクリティカル相当と評価されています。修正は8.0.3で行われたものの更新履歴に記載がなく、その後8.1.0がリリースされています。Linux版の8.0.2を対象に、TCP 7070番ポート経由で任意のコマンド実行が可能となる実証コードが公開されている点が、現時点で判明している事実です。
利用者としては、まず自身が使っているAnyDeskのバージョンを確認し、8.0.3以降に更新されているかを点検することが第一歩となります。あわせて、TCP 7070番ポートが不要に外部へ開放されていないか、接続元の制限が適切に設定されているかといった環境面の見直しも有効です。脆弱性そのものは修正済みであっても、更新履歴に明記されていなかった経緯があるため、情報を能動的に追わなければ見落としかねない点には留意しておきたいところです。
