ニュース
「楽天Koboデスクトップアプリ」のインストーラーに脆弱性、ファイル検索パスの制御不備
実行したユーザーの権限で任意のコードが実行される恐れ。CVSS 4.0の基本値は8.4
2026年8月27日 17:50
脆弱性対策情報ポータルサイト「JVN」で8月27日、脆弱性レポート「JVN#18593874」が公開された。Windows版「楽天Koboデスクトップアプリ」のインストーラーに脆弱性（CVE-2026-68955）が存在するという。
レポートによると、本アプリのインストーラーにはDLLを読み込む際の検索パスに問題があり、同じフォルダーに置かれた特定のDLLを読み込んでしまう欠陥がある（ファイル検索パスの制御不備、CWE-427）。細工されたDLLファイルを同じフォルダーに置いた状態でインストーラーを実行すると、実行したユーザーの権限で任意のコードが実行されるおそれがある。
「CVSS 4.0」の基本値は「8.4」。「CVSS 3.0」では「7.8」と評価されている。
影響を受けるのは、2026年7月15日より前に配布されたインストーラー。開発元によると、macOS版に影響はないとのこと。また、悪用された兆候や形跡も確認されていないという。
本脆弱性はインストーラーの問題なので、すでにインストール済みであれば影響を受けることはない。アプリの再インストールは不要だ。
問題となるのは、以前にダウンロードした古いインストーラーを使いまわしている場合だ。同社は、2026年7月15日より前に入手したインストーラーを完全に削除したうえで、最新版をダウンロードし直すよう呼び掛けている。インストーラーは信頼できるところから入手した、最新のものを使うよう心掛けたい。
また、こうしたインストーラーのDLL読み込み問題について、JPCERT/CCは以前から注意喚起を行っている。実行する前に同じフォルダーへ不審なファイルがないか確認する、信頼できるフォルダーや新規に作成した一時フォルダーへ移動させてから実行するといった対策が示されており、そうした習慣も身に付けておきたい。
