つみかさね

CVE-2026-104989

Critical(9.3)

Chaos V-Rayのライブラリ検索パス脆弱性 CVE-2026-104989：影響範囲と対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
V-RayChaos Software<= 2.0.19

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

  1. 1影響を受けるバージョンを使用しているか確認する
  2. 2修正バージョンへのアップデートを実施する
  3. 3アップデートが困難な場合はパッケージアップロード機能のネットワークアクセスを制限する

影響対象

V-Ray利用者3DCG制作環境の管理者

対応不要な人

  • ✓V-Rayを使用していない
  • ✓影響バージョン外（修正済みバージョンを使用中）

補足

  • -パッチ未提供の場合は回避策の適用を優先してください
CVEV-RayChaos SoftwareDLLハイジャック

30秒で判断

  • 対応すべき人: Chaos Software V-Ray バージョン2.0.19以下を使用している方
  • 対応不要な人: V-Rayを使用していない方、2.0.19より新しいバージョンにアップデート済みの方
  • 確認コマンド: V-Rayのバージョン情報（アプリ内のアバウト画面またはインストーラのバージョン表記）を確認

概要

Chaos Software V-Rayは3DCGレンダリングで広く使われる商用ソフトウェアです。今回の脆弱性は、パッケージアップロード機能において検索パスの要素が制御不十分（Uncontrolled Search Path Element）であることが原因です。

認証を持たない遠隔の攻撃者が、ライブラリの読み込み先を別の場所にリダイレクトすることで、任意のコードを実行できるおそれがあります。いわゆるDLLハイジャック・サイドローディング系の問題で、パッケージアップロード時のライブラリ解決処理が狙われます。

CVSSベクトル

項目値
CVSSスコア9.3 (Critical)
CVSSバージョン4.0
攻撃元区分ネットワーク経由
認証要否不要
影響任意コード実行

影響を受けるソフトウェア

製品バージョン
Chaos Software V-Ray2.0.19 <=

修正バージョンと回避策

Chaosが公開しているドキュメント（V-Ray Swarm 2.0.21）に修正情報が記載されています。該当バージョンへのアップデートを推奨します。アップデートが難しい場合は、パッケージアップロード機能を信頼できないネットワークから利用できないよう制限することが回避策として有効です。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-104989
Vendor:https://documentation.chaos.com/space/VRAYSWARM/1430814721/2.0.21
Mandiant:https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0043.md
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。