サイバーセキュリティ

サクラエディタにおけるOSコマンドインジェクションの脆弱性

サクラエディタ開発コミュニティが提供するサクラエディタに、OSコマンドインジェクションの脆弱性が存在することが公表されました。対象はv2.4.3より前のバージョンで、細工された名称のディレクトリ内で「ターミナルを起動」機能を使用すると任意のOSコマンドが実行されるおそれがあります。最新版へのアップデートが呼びかけられています。

この発表の要点

企業・自治体への影響

社内でサクラエディタを利用している企業・組織において、脆弱性を放置すると端末上で任意のOSコマンドが実行されるリスクがあります。情報システム部門や総務部門など、端末管理・セキュリティ対策を担う部署での速やかな確認と対応が必要です。

対応すべきこと

対象部門： 総務 情シス 法務

対応期限：速やかに確認

基本データ

企業・団体 サクラエディタ開発コミュニティ
業界 IT・ソフトウェア
発表日 2026-08-24
分類 サイバーセキュリティ

発表された内容

公開日：2026/08/24 最終更新日：2026/08/24

JVN#74538868
サクラエディタにおけるOSコマンドインジェクションの脆弱性

サクラエディタ開発コミュニティが提供するサクラエディタには、OSコマンドインジェクションの脆弱性が存在します。

サクラエディタ v2.4.3より前のバージョン

サクラエディタ開発コミュニティが提供するサクラエディタには「ターミナルを起動」する機能があります。
この機能は、編集中のファイルが置かれたディレクトリをカレントディレクトリとしてシェルプログラムを起動しますが、ディレクトリ名を表す文字列を無害化せずに使用しています。

OSコマンドインジェクション（CWE-78）

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 8.4
CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 基本値 7.8
CVE-2026-59561

細工された名称のディレクトリに置かれたファイルを編集している際に「ターミナルを起動」機能を使用すると、任意のOSコマンドが実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ

リンク

サクラエディタ開発コミュニティ

Release v2.4.3 · sakura-editor

SAKURA Editor vulnerable to OS command injection (JVN#74538868)

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-59561

JVN iPedia

JVNDB-2026-000115

Copyright (c) 2000-2026 JPCERT/CC and IPA. All rights reserved.

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN74538868/

時系列

主な数値

対象バージョン v2.4.3より前バージョン

この事例から確認すべきポイント

本件は、広く利用されているテキストエディタ「サクラエディタ」において、ディレクトリ名の無害化不備に起因するOSコマンドインジェクション（CWE-78）の脆弱性が確認された事案です。社内端末や開発環境で該当バージョンを利用している場合、細工されたディレクトリ内のファイル操作と特定の機能実行を契機に、任意のOSコマンドが実行されるリスクがあります。広報および実務担当者としては、社内で利用中の端末におけるサクラエディタの導入状況を速やかに把握し、開発者が提供する最新版へのアップデートを確実に行うことが求められます。

公式出典

更新履歴

公開日: 2026-08-24

関連事例

自社のプレスリリースをPRazeに掲載しませんか？

無料でプレスリリースを掲載する