LINE PC版（Windows版）のインストーラのDLL読み込みの脆弱性
JVNの2026年8月10日の公表によると、LINEヤフーが提供するLINE PC版（Windows版）の26.4.0より前のバージョンのインストーラに、DLL読み込みに関する脆弱性が存在する［2］。インストーラを起動したユーザの権限で、任意のコードが実行される可能性がある［2］。脆弱性を修正したバージョン26.4.0がリリースされている［2］。
脆弱性の内容
LINEヤフーのセキュリティアドバイザリによると、LINE for WindowsのインストーラLineInst.exeは、Msftedit.dllを安全なDLL検索パスを設定しないまま相対パスで読み込む［1］。インストーラのディレクトリに置かれた悪意のあるDLLが、System32にある正規のDLLより先に読み込まれうる〔注1〕［1］。
JVNは、CVSSの評価で、細工されたDLLをインストーラと同じディレクトリに置いてインストーラを起動するよう、ユーザが誘導される状況を想定した［2］。脆弱性は、情報セキュリティ早期警戒パートナーシップに基づいて報告者がIPAに報告し、JPCERT/CCが開発者との調整を行った［2］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-13133（割り当てはCNAのLY Corporation） | ［3］ |
| CWE | ファイル検索パスの制御不備（CWE-427） | ［2］ |
| CVSS v4.0の基本値 | 8.4（LINEヤフー、JVN） | ［1、2］ |
| CVSS v3.0の基本値 | 7.8（JVN） | ［2］ |
| NVDの記録のCVSS v4.0 | dl_cve@linecorp.comによるSecondaryの評価で、userInteractionはACTIVE | ［4］ |
| 悪用の状況（CISA ADPのSSVC） | Exploitation none、Automatable no、Technical Impact total | ［3］ |
時系列
修正と回避策
LINEヤフーはセキュリティアドバイザリで、LINEを最新版に更新するよう求めた［1］。JVNは対策の項に、製品をインストールする際は最新版のインストーラを使用するよう記した［2］。
窓の杜の8月12日の記事によると、執筆時の最新版はv26.4.0.3944だった［5］。
未公表の事項
- 修正版のリリース日
- 脆弱性が入り込んだ時期と経緯
- 影響を受けるバージョンの利用者数
- インストール済みのLINE PC版（Windows版）への影響
注
出典
当事者
- ［1］LINEヤフー株式会社『CVE-2026-13133 - LY Corporation』（2026年8月10日公開）
公的機関
- ［2］一般社団法人JPCERTコーディネーションセンター・独立行政法人情報処理推進機構『JVN#40467227: LINE PC版（Windows版）のインストーラにおけるDLL読み込みに関する脆弱性』（2026年8月10日公開）
- ［3］The MITRE Corporation『CVE-2026-13133』（2026年8月10日公開）
- ［4］National Institute of Standards and Technology『CVE-2026-13133』（2026年8月10日公開、2026年10月23日更新）
報道機関
- ［5］株式会社インプレス『Windows版「LINE」のインストーラーにDLL読み込みの脆弱性 ～任意コード実行のおそれ』（2026年8月12日公開）
背景資料
- ［6］一般社団法人JPCERTコーディネーションセンター・独立行政法人情報処理推進機構『JVNTA#91240916: Windows アプリケーションによる DLL 読み込みやコマンド実行に関する問題』（2017年5月25日公開、2019年8月13日更新）
更新記録
- 2026年8月16日：公開した。
- 2026年10月23日：NISTのNVDの記録の10月23日の更新（出典4）で示された記録の状態を「時系列」に加えた。