「AnyDesk」に脆弱性、実証コードも - 6月の更新で修正

AnyDesk Softwareが提供するリモートデスクトップソフト「AnyDesk」に深刻な脆弱性が明らかとなった。6月の更新で修正されていたが、公開当初は言及されていなかったという。すでに実証コードも公開されており、注意が必要となる。

セッション通信におけるパケットの処理に不備があり、ヒープベースのバッファオーバーフローが生じる脆弱性「CVE-2026-109390」が明らかとなったもの。

受信したパケットに含まれるデータ長を適切に検証していないことに起因。認証を必要とすることなく、域外のメモリへ書き込みが可能となる。

CVE番号を採番したMITREは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」相当と評価している。

現地時間2026年6月23日にリリースされた「同8.0.3」で修正済み。更新履歴などでは言及されていなかったという。その後も更新されており、同年9月23日には「同8.1.0」がリリースされている。

同脆弱性に関しては、「AnyDesk 8.0.2」のLinux版において、TCP 7070番ポートへ直接接続できる環境において、root権限で動作するサービスを通じて任意のコマンドが実行できる実証コードが公開されており、注意が必要となる。

（Security NEXT - 2026/10/13 ）ツイート