人気の無償マインドマップツール「XMind」にゼロデイ脆弱性 ～報告後も対処されず

Zero Day Initiativeのアドバイザリ

　無償で始められる人気のマインドマップツール「XMind」に、悪用が可能な未対策のゼロデイ脆弱性「CVE-2026-0777」が存在することが明らかになった。Trend Microのセキュリティチーム「Zero Day Initiative」（ZDI）が米国時間2月6日、アドバイザリを公開した。

　ZDIによると「XMind」には添付ファイルの処理に欠陥があり、細工が施された悪意あるWebページやファイルをユーザーが開くと、当該ユーザーの権限で任意のコードが実行可能になるという。深刻度の評価は、CVSSの基本値で「7.8」。

　この問題は2025年9月22日にZDIから「XMind」の開発チームへ報告・受領された。さらに同年12月10日、ゼロデイ脆弱性としてアドバイザリを公開することも開発チームに通告されたが、脆弱性への対策はなかったようだ。

　現状、この脆弱性の影響を免れるには、製品の利用を制限するしかないようだ。