CyberSecurityAction

脆弱性情報 / 日本関連インシデント

サクラエディタにOSコマンドインジェクション（CVE-2026-59561）—「ターミナル起動」機能が悪用経路に

サクラエディタv2.4.3未満にOSコマンドインジェクション脆弱性（CVE-2026-59561、CVSS 7.8）。「ターミナルを起動」機能でディレクトリ名が無害化されずシェルに渡される。細工されたファイルを開くと任意コマンドが実行される。v2.4.3で修正済み。

喜村 圭佑（編集責任者）更新 約4分

SHARE

XB!in
サクラエディタにOSコマンドインジェクション（CVE-2026-59561）—「ターミナル起動」機能が悪用経路に

THREAT GAUGE算出基準

IMPACT（影響範囲）6.5
URGENCY（対応緊急度）7.0
EXPLOIT（悪用の容易さ）6.5

“CVSS 7.8・ローカル実行・ユーザー操作必要・修正版公開済み”

01 · Overview

ニュースの概要

2026年8月24日、JVN（Japan Vulnerability Notes）はサクラエディタ開発コミュニティが提供するテキストエディタ「サクラエディタ」v2.4.3未満に、OSコマンドインジェクションの脆弱性（CVE-2026-59561）が存在することを公表した。「ターミナルを起動」機能でカレントディレクトリのパス文字列がサニタイズされずにシェルへ渡される設計上の問題であり、特殊なディレクトリ名を持つファイルを開いた状態でこの機能を使用すると任意のOSコマンドが実行される。修正版v2.4.3が公開済みのため、同ソフトウェアを業務利用している環境では速やかなアップデートが推奨される。

サクラエディタはWindows向けの国産テキストエディタとして長年にわたり国内の開発者・システム管理者を中心に広く利用されている。本脆弱性は同ソフトウェアに実装された「ターミナルを起動」機能に起因する。この機能は編集中のファイルが置かれたディレクトリをカレントディレクトリとしてWindowsのコマンドプロンプト等のシェルプログラムを起動するものだが、ディレクトリ名を表す文字列を無害化せずにシェルに渡す実装となっている。

攻撃シナリオは以下の通りである。攻撃者はOSコマンドを含む特殊な文字列（例：&calc.exe等）をフォルダ名に埋め込んだディレクトリを作成し、そのディレクトリ内にファイルを配置する。被害者がサクラエディタでそのファイルを開き、「ターミナルを起動」機能を使用すると、ディレクトリ名に含まれるOSコマンドが実行される。攻撃の前提条件として、被害者が細工されたディレクトリ内のファイルをサクラエディタで開くことと、「ターミナルを起動」機能を使用することが必要である（AV:L、UI:R）。

CVSS v3.0スコアは7.8（High）、CVSS v4.0スコアは8.4（High）と評価されている。修正版v2.4.3がGitHubのリポジトリおよびGitHub Security Advisoriesに公開済みである。開発環境や共有ファイルサーバー上での業務利用が多いテキストエディタの性質上、悪意を持って配置された細工ファイルを開く可能性をゼロとは言えないため、早急なアップデートが推奨される。

CVE番号
CVE-2026-59561
JVN番号
JVN#74538868
CVSSスコア
7.8（High、CVSS3.0）/ 8.4（High、CVSS4.0）
影響バージョン
サクラエディタ v2.4.3未満
修正状況
v2.4.3で修正済み（GitHub公開）

JVN公式アドバイザリおよびGitHub Security Advisoryをもとに構成。悪用確認情報なし（2026-08-24時点）。

02 · Analysis

詳細な原因解説

本脆弱性の根本原因は「ターミナルを起動」機能の実装における入力値サニタイズの欠如である。同機能はWindowsのShellExecute等のAPIを通じてシェルプログラムを起動する際、カレントディレクトリのパスを直接コマンドライン引数またはシェル展開可能な文字列として渡す実装になっていた。Windowsのシェル（cmd.exe、PowerShell等）では特殊文字（&、|、;、>等）がコマンド区切り文字として解釈されるため、これらを含むディレクトリ名がサニタイズされずに渡された場合、追加コマンドが実行される。

攻撃の前提条件はローカルアクセス（AV:L）とユーザー操作（UI:R）であり、リモートからの自律的な悪用はできない。ただし、攻撃者が共有ファイルサーバーやリポジトリに細工されたディレクトリを作成する能力を持っている場合、または電子メール等で細工されたアーカイブを配布する場合には、被害者がそのファイルを開くだけで攻撃が成立する。開発環境では外部からファイルを受け取る機会が多く、実際のリスクは技術的スコアが示すより高い場合がある。

CWE-78（OSコマンドインジェクション）に分類されるこの脆弱性は、ユーザー入力（ここではファイルシステムから取得したパス）をシェルコマンドに直接埋め込む古典的なパターンである。適切な修正はパスのクォート処理または引数を文字列ではなく配列として渡すAPIへの切り替えによって行われる。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

「ターミナル起動」機能を攻撃ベクタに転用

Q. 開発支援機能がなぜ攻撃者に悪用されやすいのか？

「ターミナルを起動」はソフトウェア開発者・管理者の利便性を高める機能として実装されたが、この機能の存在自体が攻撃ベクタとなった。SCAMPER的に「USE」（用途転用）の発想で見ると、正規機能を悪用した攻撃手法は検知が難しく、ホワイトリスト型防御でも見逃されやすい。守備側はエディタやIDEに組み込まれた「外部コマンド実行系」機能（マクロ、ターミナル、ビルド実行等）を洗い出し、その入力値の検証状況を評価するセキュリティレビューを実施すべきである。

非自動更新ツールが生む組織的なパッチギャップ

Q. 自動更新機能を持たないツールはなぜパッチ適用が遅れやすいのか？

サクラエディタのようなオープンソースの非自動更新ツールは、脆弱性が公開されても利用者への通知経路がない。Windowsの場合、OSのUpdateはWindows Updateで管理されるが、個別アプリのパッチは利用者の能動的な確認に依存する。組織内でこのようなツールが野良インストールされている場合、IT部門が把握できず脆弱なバージョンが長期間稼働し続けるリスクがある。インベントリ管理とパッチポリシーの整備が構造的な解決策となる。

非自動更新ツールのパッチ管理プロセスの確立

本件の優先度はリモート悪用が不可能な点（AV:L、UI:R）から他の脆弱性と比較して相対的に低いが、開発者・管理者が多用するツールという性質から無視できない。まずv2.4.3へのアップデートを実施した上で、自動更新を持たないツールの管理プロセスを整備することが中長期の対策となる。

組織的な対応としては、資産管理ツールによるソフトウェアインベントリの定期収集と、JVNやNVDへの定期的なチェックを組み合わせた脆弱性管理プロセスの確立を推奨する。特に国産ソフトウェアの脆弱性情報はJVNが最速の情報源となるため、JVN iPediaのRSSや通知機能の活用が有効である。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のIT管理者です。組織内の[台数]台のWindows端末にサクラエディタv[バージョン]が業務利用目的でインストールされています。CVE-2026-59561（JVN#74538868）への対応として、①影響バージョンの確認と棚卸し方法、②一括アップデートの手順、③今後の非自動更新ソフトウェアのパッチ管理プロセス設計を提案してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

自組織の業種

影響対象端末の台数

インストール中のサクラエディタバージョン

キーワード

  • サクラエディタ
  • CVE-2026-59561
  • OSコマンドインジェクション
  • JVN#74538868
  • テキストエディタ

SOURCES · 参考情報源