サクラエディタにOSコマンドインジェクションの脆弱性、CVE-2026-59561　v2.4.3へ更新を

JPCERT/CCとIPAが共同運営するJapan Vulnerability Notes（JVN）は2026年8月24日、Windows向けテキストエディタ「サクラエディタ」にOSコマンドインジェクションの脆弱性が存在すると公表しました。

脆弱性はCVE-2026-59561として採番され、影響を受けるのはサクラエディタ v2.4.3より前のバージョンです。CVSS v4.0の基本値は8.4（重要）、CVSS v3系では7.8（重要）と評価されています。

細工された名称のディレクトリに置かれたファイルをサクラエディタで編集し、利用者が「ターミナルを起動」機能を使用した場合、意図しないOSコマンドが実行される可能性があります。攻撃成立には利用者による操作が必要で、ネットワーク越しに無操作で攻撃が成立する脆弱性ではありません。

サクラエディタ開発コミュニティは8月8日に修正版v2.4.3を公開済みです。同リリースではCVE-2026-59561に加え、複数のバッファオーバーフローを含むセキュリティ修正も実施されています。

サクラエディタ CVE-2026-59561のサマリー

• 確認済み：JVNは2026年8月24日、サクラエディタのOSコマンドインジェクション脆弱性を公表しました。
• 確認済み：CVE番号はCVE-2026-59561です。
• 確認済み：JVN番号はJVN#74538868です。
• 確認済み：影響を受けるのはサクラエディタ v2.4.3より前のバージョンです。
• 確認済み：修正版は2026年8月8日に公開されたv2.4.3です。
• 確認済み：CVSS v4.0基本値は8.4（重要）、CVSS v3系基本値は7.8（重要）です。
• 確認済み：脆弱性分類はOSコマンドインジェクション（CWE-78）です。
• 確認済み：細工された名称のディレクトリに置かれたファイルを開き、利用者がターミナル起動機能を使用した場合に任意のOSコマンドが実行される可能性があります。
• 確認済み：攻撃には利用者の操作が必要です。CVSSでもUser Interactionが必要と評価されています。
• 確認済み：サクラエディタ公式GitHub Security AdvisoryにはPoCを含む検証資料が公開されています。
• 未確認：8月26日時点で、本脆弱性が実際の攻撃で悪用されたことを示す一次情報は確認できませんでした。
• 確認済み：8月26日時点で、CVE-2026-59561はCISA Known Exploited Vulnerabilities（KEV）カタログに掲載されていません。
• 確認済み：v2.4.3では本件以外にも複数のバッファオーバーフローなどセキュリティ修正が実施されています。

項目	内容
公表日	2026年8月24日
製品	サクラエディタ
CVE	CVE-2026-59561
JVN	JVN#74538868
脆弱性	OSコマンドインジェクション
CWE	CWE-78
CVSS v4.0	8.4（重要）
CVSS v3系	7.8（重要）
影響バージョン	v2.4.3より前
修正版	v2.4.3
修正版公開日	2026年8月8日
攻撃に利用者操作	必要
PoC	公式GitHub Security Advisoryで公開
実悪用	8月26日時点で確認できず
CISA KEV	8月26日時点で未掲載
暫定回避策	JVNは個別回避策を示さず、最新版への更新を推奨

サクラエディタはWindows向けの日本語テキストエディタ

サクラエディタは、サクラエディタ開発コミュニティが開発するWindows向けのオープンソーステキストエディタです。

公式サイトによると、v2.4.0以降はWindows 10およびWindows 11を動作環境としています。

2022年12月にv2.4.2が公開された後、約3年8か月ぶりとなるv2.4.3が2026年8月8日に公開されました。

v2.4.3はダークモード対応やPythonマクロ対応などの機能追加に加え、多数のセキュリティ修正を含むリリースとなっています。

CVE-2026-59561、ディレクトリ名がOSコマンドとして解釈される可能性

JVNによると、サクラエディタには編集中のファイルが置かれているディレクトリをカレントディレクトリとしてシェルを起動する「ターミナルを起動」機能があります。

問題は、この処理でディレクトリ名を表す文字列が適切に無害化されず使用されていた点です。

そのため、攻撃者が細工した名称のディレクトリを用意し、その中のファイルを利用者に編集させたうえで、利用者がターミナル起動機能を使用すると、意図しないOSコマンドが実行される可能性があります。

開発コミュニティのGitHub Security Advisoryでは、「Open PowerShell」または管理者権限でPowerShellを開く機能に関連する問題として説明されています。

JVNと開発側では機能名の表記が異なりますが、いずれも編集中ファイルのディレクトリを基にシェルを起動する処理が問題となっています。

CVSS v4.0は8.4、機密性・完全性・可用性への影響はいずれも「高」

JPCERT/CCはCVE-2026-59561について、CVSS v4.0で8.4（重要）と評価しています。

ベクトルは次のとおりです。

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

評価では、攻撃元はローカル、攻撃条件の複雑さは低く、事前の権限は不要とされています。

一方、利用者の能動的な操作が必要です。

脆弱性が悪用された場合、対象PCの機密性、完全性、可用性に対する影響はいずれも「高」と評価されています。

CVSS v3系では7.8で、ベクトルはAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hです。

NVDにも8月24日付でCVE情報が登録されていますが、8月26日時点ではNVD独自のCVSS評価はまだ付与されておらず、JPCERT/CCによるスコアが掲載されています。

ネットワーク越しに無操作で攻撃できる脆弱性ではない

CVSSのAttack Vectorは「Local」、User Interactionは「Active」または「Required」と評価されています。

つまり、インターネット上からサクラエディタが動作しているPCへ直接アクセスし、利用者の操作なしで任意コマンドを実行できる脆弱性ではありません。

攻撃成立には、細工されたディレクトリ構造を利用者へ渡すなどの前段階と、利用者が対象ファイルを編集した状態でターミナル起動機能を利用する操作が必要です。

一方、開発者や運用担当者は、ZIPファイル、共有フォルダ、ソースコード一式など、第三者が用意したディレクトリ構造を日常的に扱う場合があります。

そのため、利用者操作が必要であることだけを理由に影響を軽視するのは適切ではありません。

公式Security AdvisoryでPoCを公開

サクラエディタ開発コミュニティはGitHub Security Advisoryで本脆弱性を公開しており、JVN#74538868の詳細資料としてPoCを含むZIPファイルを添付しています。

そのため、PoCが公開されている状態です。

ただし、本記事では脆弱性を再現するためのディレクトリ名、コマンド文字列、具体的な攻撃手順は掲載しません。

PoC公開と、実際のサイバー攻撃で悪用されていることは別です。

8月26日時点で、JPCERT/CC、JVN、NVD、サクラエディタ開発コミュニティの公開情報から、本脆弱性が実際の攻撃で悪用されたとする情報は確認できませんでした。

CISA KEVには8月26日時点で未掲載

CISAが公開するKnown Exploited Vulnerabilities Catalogも確認しました。

8月26日時点で、CVE-2026-59561の掲載は確認できませんでした。

CISA KEVは、実際の攻撃で悪用されたことが確認された脆弱性を掲載するカタログです。

したがって、本件について「CISAが実悪用を確認した」「KEV掲載済み」とすることはできません。

ただし、KEVに未掲載であることは脆弱性の安全性を意味するものではありません。

公式PoCが公開され、任意のOSコマンド実行につながる可能性があることから、利用環境では速やかな更新が推奨されます。

修正版v2.4.3は8月8日に公開済み

サクラエディタ開発コミュニティはJVN公表より前の8月8日、v2.4.3を公開しました。

JVNは影響を受けるバージョンを「v2.4.3より前」としており、最新版へのアップデートを対策として案内しています。

利用者は現在のバージョンを確認し、v2.4.2以前を使用している場合はv2.4.3へ更新する必要があります。

v2.4.3では動作環境もWindows 10以降へ変更され、Windows 7およびWindows 8.1のサポートが終了しています。

古いWindows環境でサクラエディタを利用している組織では、エディタだけでなくOS自体のサポート状況も含めて対応を検討する必要があります。

v2.4.3では複数のバッファオーバーフローも修正

v2.4.3の公式リリースノートでは、CVE-2026-59561以外にも複数のセキュリティ修正が記載されています。

主なものは次のとおりです。

公式Advisory・修正	内容
GHSA-6x2x-729r-wjh5	PowerShell起動機能のOSコマンドインジェクション。JVN#74538868 / CVE-2026-59561
GHSA-g26p-p558-cmwj	WSHマクロ経由のExecCmdにおけるスタックバッファオーバーフロー
GHSA-jg35-7phr-86wq	制御プロセス起動時のプロファイル名に関するスタックバッファオーバーフロー
GHSA-jpr9-7379-v6m7	長いファイルパスに関連するスタックバッファオーバーフロー
GHSA-hmv4-c8rc-fq53	キーワードヘルプ辞書インポートなどに関する複数の脆弱性
その他	CUtf7、CopyDirDir、ファイルダイアログのバッファ処理に関する対策

これらはv2.4.3のリリースノートで「セキュリティ修正」として列挙されています。

一方、8月26日時点でJVNがCVE番号付きで個別に公表している今回の対象はCVE-2026-59561です。

他のGitHub Advisoryについて、CVE番号やJVN番号が付与されていないものをCVE-2026-59561と同一視することはできません。

情報システム部門への示唆

サクラエディタは開発者やシステム管理者の端末に導入されていることが多く、一般的な業務アプリと比べて、ソースコード、設定ファイル、ログ、スクリプトなど重要な情報へアクセスできる端末で使用されるケースがあります。

今回の脆弱性はネットワークから直接攻撃するものではありませんが、第三者から受け取ったファイルやディレクトリを開発端末で扱う運用では影響を受ける可能性があります。

情報システム部門では、ソフトウェア資産管理ツールなどを利用し、v2.4.2以前のサクラエディタが残っていないかを確認する必要があります。

特に、個人判断でフリーソフトを導入できる開発部門では、インストール済みバージョンが長期間更新されないケースがあります。

今回、v2.4.2からv2.4.3まで約3年8か月空いているため、自動更新だけに依存せず、脆弱性情報を基に更新を指示できる仕組みが重要です。

また、PoCが公開されていることから、更新までの間は信頼できないソースから取得したフォルダやアーカイブをサクラエディタで扱う際に注意し、「ターミナルを起動」「PowerShellを開く」機能の利用を避けることも暫定的なリスク低減につながります。

ただし、JVNが正式な対策として示しているのは最新版へのアップデートです。運用回避だけで対応を完了せず、v2.4.3への更新を優先する必要があります。

出典

• JVN#74538868 サクラエディタにおけるOSコマンドインジェクションの脆弱性 – JVN
• JVNDB-2026-000115 サクラエディタにおけるOSコマンドインジェクションの脆弱性 – JVN iPedia
• SAKURA Editor vulnerable to OS command injection (JVN#74538868) – Sakura Editor Development Community / GitHub Security Advisory
• Release v2.4.3 – Sakura Editor Development Community
• サクラエディタ公式サイト – Sakura Editor Development Community
• CVE-2026-59561 – NVD
• Known Exploited Vulnerabilities Catalog data – CISA