サイバーセキュリティ

ヤマハ製VOCALOID6 Editorにおける外部エンティティ参照の不適切な制限の脆弱性

ヤマハ株式会社が提供するVOCALOID6 Editorに、外部エンティティ参照の不適切な制限（CWE-611）の脆弱性（CVE-2026-104679）が存在することが、JVNで2026年10月19日に公開されました。対象はVOCALOID6 Editor 6.13.2およびそれ以前のバージョンです。細工されたプロジェクトファイルを読み込むことで、意図しない通信が発生し、機微な情報を取得されたりサービス運用妨害（DoS）状態にされたりする可能性があると説明されています。開発者は最新版へのアップデートを案内しており、アップデータVer.6.13.3が公開されています。

最終確認日: 2026-10-19

この発表の要点

VOCALOID6 Editor 6.13.2およびそれ以前のバージョンに外部エンティティ参照の脆弱性（CVE-2026-104679）が存在する
細工されたプロジェクトファイルの読み込みにより、機微な情報の取得やサービス運用妨害（DoS）状態につながる可能性がある
開発者はアップデータVer.6.13.3を公開し、最新版へのアップデートを案内している

企業・自治体への影響

VOCALOID6 Editorを利用する音楽制作・クリエイティブ業界、および社内でこの製品を業務利用する情報システム部門・制作部門に関係します。製品がインストールされた端末に影響する可能性があるため、情シス部門による端末管理と対象バージョンの把握が必要になります。

対応すべきこと

社内で利用しているVOCALOID6 Editorのバージョンを確認し、6.13.2およびそれ以前に該当しないかを判断する
該当する端末について、開発者が案内するアップデータVer.6.13.3（最新版）への更新を実施する
外部から入手したプロジェクトファイルを取り扱う運用ルールを関係部門と確認する
詳細や最新情報については公式出典（JVN）を確認し、更新状況を記録する

対象部門： 情シス総務

対応期限：速やかに確認

基本データ

企業・団体	ヤマハ株式会社
業界	IT・ソフトウェア
発表日	2026-10-19
分類	サイバーセキュリティ

発表された内容

公開日：2026/10/19 最終更新日：2026/10/19

JVNVU#93520490
ヤマハ製VOCALOID6 Editorにおける外部エンティティ参照の不適切な制限の脆弱性

ヤマハ株式会社が提供するVOCALOID6 Editorには、外部エンティティ参照の不適切な制限の脆弱性が存在します。

VOCALOID6 Editor 6.13.2およびそれ以前のバージョン

ヤマハ株式会社が提供するVOCALOID6 Editorには、次の脆弱性が存在します。

外部エンティティ参照の不適切な制限（CWE-611）

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N 基本値 6.9
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H 基本値 7.1
CVE-2026-104679

細工されたプロジェクトファイルを読み込むことで、当該製品から意図しない通信が発生し、製品がインストールされた端末の機微な情報を取得されたり、サービス運用妨害（DoS）状態にされたりする可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ

リンク

ヤマハ株式会社

VOCALOID6 Editor アップデータ Ver.6.13.3 公開

この脆弱性情報は、下記の方がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：Zero (wasthatzero.net) 氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-104679

JVN iPedia

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU93520490/

時系列

2026-10-19　JVNにて「ヤマハ製VOCALOID6 Editorにおける外部エンティティ参照の不適切な制限の脆弱性」（JVNVU#93520490）が公開された
2026-10-19　公開と同日に最終更新された

主な数値

CVSS v4.0 基本値	6.9点
CVSS v3.1 基本値	7.1点
対象バージョン（上限）	6.13.2及びそれ以前

この事例から確認すべきポイント

本件は、製品が細工されたプロジェクトファイルを読み込んだ際に生じる脆弱性に関する発表です。取得した本文では、意図しない通信の発生、機微な情報の取得、サービス運用妨害（DoS）状態にされる可能性が示されています。一方で、実際の被害の発生有無や件数などについては、取得した本文からは確認できませんでした。詳細は公式出典をご確認ください。広報・実務の観点では、対象製品と対象バージョン（6.13.2およびそれ以前）を社内で利用しているかを確認し、開発者が案内する最新版（アップデータVer.6.13.3）への対応状況を管理することが基本になります。また、外部から入手したプロジェクトファイルを取り扱う運用の見直しも、本件から確認すべき事項といえます。

公式出典

JVN（JPCERT/CC・IPA）

更新履歴

公開日: 2026-10-19 ／最終確認: 2026-10-19

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-19