サクラエディタの「ターミナルを起動」機能の脆弱性CVE-2026-59561
JVNの2026年8月24日の公表によると、サクラエディタ開発コミュニティが提供するサクラエディタに、OSコマンドインジェクションの脆弱性CVE-2026-59561が存在する［5］。細工された名称のディレクトリに置かれたファイルを編集している際に「ターミナルを起動」機能を使用すると、任意のOSコマンドが実行される可能性がある［5］。
脆弱性の内容
JVNは、「ターミナルを起動」機能が編集中のファイルが置かれたディレクトリをカレントディレクトリとしてシェルプログラムを起動すると説明した［5］。その際、ディレクトリ名を表す文字列を無害化せずに使用している［5］。
採番機関（CNA）をJPCERT/CCとするCVEの記録の説明では、細工されたディレクトリのファイルを編集するよう誘導された利用者がこの機能〔注1〕を実行すると、利用者のPCで任意のOSコマンドが実行されることがある［6］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS v4.0の基本値（JVN） | 8.4 | ［5］ |
| CVSS v3.0の基本値（JVN） | 7.8 | ［5］ |
| CVSSの深刻度（CVEの記録、v3.0とv4.0） | HIGH | ［6］ |
| CWE | OSコマンドインジェクション（CWE-78） | ［5、6］ |
NVDは独自のCVSSの評価を付けておらず、記録にあるCVSSはJPCERT/CCが付けたv4.0の値だけである［7］。IPAは脆弱性対策情報データベースJVN iPediaに、この脆弱性の項目を掲載した［8］。JVNが示した項目の番号はJVNDB-2026-000115である［5］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2022年 | サクラエディタ開発コミュニティ | Ver.2.4.2をリリースした | ［1］ |
| 2026年 | - | CVE-2026-59561の番号が予約された | ［6］ |
| 2026年 | サクラエディタ開発コミュニティ | Ver.2.4.3をリリースした | ［1］ |
| 2026年 | JPCERT/CC・IPA | JVN#74538868を公開した | ［5］ |
| 2026年 | CVE Program | CVE-2026-59561の記録を公開した | ［6］ |
| 2026年 | CISA | CVEの記録にSSVCの評価を加えた | ［6］ |
| 2026年 | NVD | CVE-2026-59561を登録した | ［7］ |
| 2026年 | 東京工芸大学情報処理教育研究センター | 学内向けにお知らせを掲載した | ［4］ |
| 2026年 | NVD | 記録を最後に更新した | ［7］ |
対象の製品と版
影響を受けるのは、サクラエディタのv2.4.3より前の版である［5、6］。開発コミュニティの公式サイトによると、サクラエディタはMS Windows上で動作する日本語テキストエディタで、Ver. 2.4.0.0以降はMS Windows 10/11で動作する［1］。
窓の杜は、サクラエディタを2000年から有志による開発が続く国産のテキストエディターと紹介し、GitHubでホストされるオープンソースプロジェクトでライセンスは「Zlib」だと報じた［9］。v2.4.3は約3年8カ月ぶりの更新だった［9］。
悪用の状況
CISAはCVEの記録に加えたSSVCの評価で、Exploitationを「none」、Automatableを「no」、Technical Impactを「total」とした［6］。NVDの記録の状態は「Deferred」で、CISAのKEVへの登録（cisaExploitAdd）の項目は無い［7］。
修正と回避策
JVNは対策として、開発者が提供する情報をもとに最新版へアップデートするよう求めた［5］。開発コミュニティはGitHubにセキュリティアドバイザリを掲載した［2］。GitHubには、この版のリリースのページも掲載している［3］。
東京工芸大学情報処理教育研究センターの8月24日のお知らせでは、IPAのセキュリティセンターから情報が発表されたことを伝え、最新版へのアップデートを依頼した［4］。
窓の杜は8月10日の記事で、v2.4.3を複数の脆弱性に対処したセキュリティアップデートと報じた［9］。
| アドバイザリ | 内容 | 深刻度 | 資料 |
|---|---|---|---|
| GHSA-6x2x-729r-wjh5 | 「PowerShellを開く」機能におけるOSコマンドインジェクション | High、7.8/10 | ［9］ |
| GHSA-g26p-p558-cmwj | WSHマクロを介した「ExecCmd」スタックバッファオーバーフロー | High | ［9］ |
| GHSA-jg35-7phr-86wq | 制御プロセスを起動する際、コマンドライン引数で渡されるプロファイル名の長さ検証が欠落しており、スタックバッファオーバーフローが発生する | Moderate | ［9］ |
| GHSA-jpr9-7379-v6m7 | 長いファイルパスを扱う際に「ViewDiffInfo」「TagsMake」でスタックバッファオーバーフロー | Low | ［9］ |
| GHSA-hmv4-c8rc-fq53 | キーワードヘルプ辞書のインポート機能におけるバッファオーバーフローなど、複数の問題 | High、7.0/10 | ［9］ |
未公表の事項
- 開発コミュニティによる修正の具体的な内容
- 脆弱性の発見者・報告者
- 最新版へのアップデートのほかの回避策
- 「PowerShellを開く」機能と「ターミナルを起動」機能の関係
- 開発コミュニティによる悪用・被害の有無の説明
注
出典
当事者
- ［1］サクラエディタ開発コミュニティ『サクラエディタ』（2026年8月8日公開）
- ［2］サクラエディタ開発コミュニティ『SAKURA Editor vulnerable to OS command injection (JVN#74538868)』（公開日不明、保存記録のみ） 保存記録
- ［3］サクラエディタ開発コミュニティ『Release v2.4.3 · sakura-editor/sakura』（公開日不明、保存記録のみ） 保存記録
関係組織
- ［4］東京工芸大学情報処理教育研究センター『「サクラエディタ」におけるOSコマンド・インジェクションの脆弱性_202608』（2026年8月24日公開）
公的機関
- ［5］一般社団法人JPCERTコーディネーションセンター・独立行政法人情報処理推進機構『JVN#74538868: サクラエディタにおけるOSコマンドインジェクションの脆弱性』（2026年8月24日公開）
- ［6］MITRE Corporation『CVE-2026-59561』（2026年8月24日公開）
- ［7］National Institute of Standards and Technology『CVE-2026-59561』（2026年8月24日公開、2026年10月12日更新）
- ［8］独立行政法人情報処理推進機構『JVNDB-2026-000115』（公開日不明、保存記録のみ） 保存記録
報道機関
- ［9］株式会社インプレス『「サクラエディタ」に約3年8カ月ぶりの更新、ダークモード/EditorConfig/IVSなどに対応【8月25日追記】』（2026年8月10日公開、2026年8月25日更新）
更新記録
- 2026年8月30日：公開した。
- 2026年10月12日：National Institute of Standards and TechnologyのNVDの記録の10月12日の更新（出典7）を加え、「脆弱性の内容」「時系列」「悪用の状況」の節を改めた。