ニュース

画像編集ソフト「GIMP」に10件の脆弱性、いずれも任意コード実行のおそれ ～修正版は未リリース

当面は信頼できないファイルを開かないよう注意を

2026年8月3日 06:55

「ZDI」が公開した「GIMP」のセキュリティアドバイザリ

　フリーの画像編集・処理ソフト「GIMP」に、複数の脆弱性が発見された。「Zero Day Initiative」（ZDI）が7月29日（米国時間、以下同）、セキュリティアドバイザリを公開している。

  • ZDI-26-453（CVE-2026-18300）：HDRファイルの解析における整数オーバーフロー
  • ZDI-26-454（CVE-2026-18301）：PSDファイルの解析における整数オーバーフロー
  • ZDI-26-455（CVE-2026-18302）：TIFファイルの解析におけるヒープベースのバッファーオーバーフロー
  • ZDI-26-456（CVE-2026-18303）：TIFファイルの解析におけるスタックベースのバッファーオーバーフロー
  • ZDI-26-457（CVE-2026-18304）：TIFファイルの解析における整数オーバーフロー
  • ZDI-26-458（CVE-2026-18305）：TIFファイルの解析における整数オーバーフロー
  • ZDI-26-459（CVE-2026-18306）：SGIファイルの解析における整数オーバーフロー
  • ZDI-26-460（CVE-2026-18307）：TIFファイルの解析におけるヒープベースのバッファーオーバーフロー
  • ZDI-26-461（CVE-2026-18308）：TIFファイルの解析における整数オーバーフロー
  • ZDI-26-462（CVE-2026-18309）：APNGファイルの解析における整数オーバーフロー

　いずれも共通脆弱性評価システム「CVSS v3」のベーススコアは「7.8」で、深刻度は4段階中2番目に高い「重要」（High）。細工された画像ファイルを開くか、悪意あるページを閲覧すると、「GIMP」の実行権限で任意のコードを実行されるおそれがある。攻撃の成立にはユーザーの操作が必要だが、逆に言えば、出所の怪しい画像を安易に開かないことが当面の防御策となる。

　これらの脆弱性は4月17日に開発元へ報告され、4月18日から23日にかけて修正コードがリポジトリへ投入された（「CVE-2026-18300」のみ、画像処理ライブラリ「GEGL」側で修正）。

　ただし、現時点でこれらの修正を含む正式版はリリースされていない。修正を含む正式版が公開され次第、できるだけ早く適用することをお勧めする。

　「GIMP」（GNU Image Manipulation Program）は、フリーかつオープンソースの画像編集・処理ソフト。Windows、Mac、Linuxなど、多彩な環境をカバーするクロスプラットフォームアプリで、写真のレタッチや画像合成、イラスト制作などで「Adobe Photoshop」に匹敵する実力を備える。1995年から開発が継続されている歴史あるアプリでもある。

　ダウンロードは同プロジェクトの公式サイト「gimp.org」から無償で可能（寄付歓迎）。Windows版は窓の杜ライブラリや「Microsoft Store」からも入手できる。

Amazonで購入