ImageMagick、-script操作のポリシーバイパスとTIFFエンコーダのメモリリークを公表修正版は7.1.2-26と6.9.13-51

公開：2026年7月22日更新：2026年7月22日

CodeCampが提供するDX人材育成が可能なプログラミングやITが学べる公開講座

ImageMagickの開発元が、-script操作でセキュリティポリシーが禁じるパスを読み取れてしまう問題と、TIFFエンコーダのメモリリークについて勧告を公開しました。対象は7.1.2-26より前と6.9.13-51より前を使う環境で、メモリリーク側は深刻度の評価が開発元とJVN iPediaで分かれています。

3行まとめ
-script操作のポリシーチェック欠如によるポリシーバイパス
一時ファイルを作成できない場合のTIFFエンコーダのメモリリーク
開発元とJVN iPediaで分かれる深刻度評価
影響を受ける版と開発元が示す修正済みの版
trends編集部の一言
References

3行まとめ

何が起きたか：ImageMagickが-script操作のポリシーバイパスとTIFFエンコーダのメモリリークの勧告を公開
影響・条件：開発元評価は3.3と2.9でいずれもLow、メモリリークはJVN iPedia掲載のNVD値で7.5
対応：開発元が示す修正済みの版は7.1.2-26と6.9.13-51、影響版は7.1.2-26未満と6.9.13-51未満

修正・更新はバックアップを取得し、検証環境で影響を確認したうえで、各自の責任で実施してください。

-script操作のポリシーチェック欠如によるポリシーバイパス

開発元のImageMagickは、-script操作にポリシーの確認が欠けていたと勧告で説明しています。その結果、セキュリティポリシーで禁止されたパスからの読み取りにつながる可能性がある、という内容です。

開発元が付けた深刻度はLowで、CVSS v3の基本値は3.3です。内訳は攻撃元区分がローカル、攻撃条件の複雑さが低、攻撃に必要な特権レベルが低、利用者の関与は不要とされています。

影響については機密性のみが低で、完全性と可用性はなしという評価です（CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N）。

勧告のCVE ID欄は「No known CVE」のままですが、JVN iPediaはこの脆弱性をJVNDB-2026-024315として掲載し、CVE-2026-61859を対応付けています。JVN iPediaが載せるCVSS v3基本値も3.3（注意）で、評価主体は［その他］と記載されています。

JVN iPediaが想定される影響として挙げるのは、当該ソフトウェアが扱う情報の一部が外部に漏れる可能性です。書き換えは発生せず、当該ソフトウェアは停止しない、とも記載されています。

開発元は勧告の中で、この脆弱性の分類としてCWE-59（Improper Link Resolution Before File Access）とCWE-284（Improper Access Control）を挙げています。

このセクションの用語

CWE-59（Improper Link Resolution Before File Access）: 開発元の勧告がこの脆弱性へ付けた分類の一つです。ファイル名をもとにファイルへアクセスする際、そのファイル名がリンクやショートカットとして意図しない資源へ解決されることを適切に防げない、という問題を指します。
CWE-284（Improper Access Control）: 同じ勧告が併せて挙げている分類です。権限のない主体による資源へのアクセスを制限していない、または制限の仕方が正しくないことを指します。

Python研修一覧はこちら

目的に合うPython研修を一覧形式から探したい方は、ぜひご利用ください。

Python研修を比較する

Java研修一覧はこちら

目的に合うJava研修を一覧形式から探したい方は、ぜひご利用ください。

Java研修を比較する

PHP研修一覧はこちら

目的に合うPHP研修を一覧形式から探したい方は、ぜひご利用ください。

PHP研修を比較する

新入社員研修

目的に合う新入社員研修を一覧形式から探したい方は、ぜひご利用ください。

新入社員研修を比較する

全ての研修からも探したい方はこちら

一時ファイルを作成できない場合のTIFFエンコーダのメモリリーク

もう1件の勧告が扱うのは、一時ファイルを作成できなかった場合にTIFFエンコーダで起きる小さなメモリリークです。

こちらも勧告のCVE ID欄は「No known CVE」で、CVE-2026-61863はJVN iPediaがJVNDB-2026-024314で対応付けた識別子です。JVN iPediaは想定される影響として、情報の漏えいや書き換えは発生しない一方、当該ソフトウェアが完全に停止する可能性を挙げています。

開発元とJVN iPediaで分かれる深刻度評価

同じTIFFエンコーダのメモリリークについて、開発元の勧告は基本値2.9・攻撃元区分ローカル、JVN iPedia掲載のNVD値は基本値7.5・攻撃元区分ネットワークとしており、評価主体で値と内訳が一致していません。

両者が示すCVSS v3の内訳は次のとおりです。

TIFFエンコーダのメモリリークに対する深刻度評価

評価主体	基本値	攻撃元区分	攻撃条件の複雑さ	必要な特権レベル	可用性への影響
開発元の勧告（GHSA-6vxp-gfwf-hcr9）	2.9（Low）	ローカル	高	不要	低
JVN iPedia掲載のNVD値（JVNDB-2026-024314）	7.5（重要）	ネットワーク	低	不要	高

Python基礎・実践(Django)

企業・法人向けのPython研修では、基礎から応用まで体系的に学べます。

Python研修の詳細

DX社員研修

企業・法人向けのDX研修では、実務に繋がるリスキリングでITレベルを向上させます。

DX研修の詳細

Javaエンジニア育成研修

企業・法人向けのJavaエンジニア育成研修では、Javaの基礎から応用まで確実に習得できます。

Java研修の詳細

新卒・新入社員向け研修

企業・法人に新入社員・新卒社員に向けたプログラミング研修を提供しています。

新入社員研修の詳細

コードキャンプのIT研修を全て見る

影響を受ける版と開発元が示す修正済みの版

2件の勧告はいずれも2026年6月26日付で公開されています。対象となる版と修正済みの版の表記は、どちらの勧告でも同じです。

開発元が勧告に示した版の範囲は次のとおりです。

開発元が示す影響版と修正済みの版

脆弱性	影響を受ける版	修正済みの版
`-script`操作のポリシーバイパス（GHSA-vghg-5jrg-2398）	7.1.2-26未満、6.9.13-51未満	7.1.2-26、6.9.13-51
TIFFエンコーダのメモリリーク（GHSA-6vxp-gfwf-hcr9）	7.1.2-26未満、6.9.13-51未満	7.1.2-26、6.9.13-51

JVN iPediaは対策欄で、ベンダ情報を参照して適切な対策を実施するよう案内しています。更新先として開発元が明示しているのは、上の表にある7.1.2-26と6.9.13-51です。

各勧告の記載内容は開発元のページで確認できます。

ImageMagick公式のセキュリティ勧告はこちら

trends編集部の一言

開発元の評価では2件とも深刻度Lowで、基本値は3.3と2.9にとどまります。ところがメモリリーク側だけはJVN iPediaに掲載されたNVD値が7.5で、攻撃元区分もローカルとネットワークで食い違っています。

編集部としては、こうした差を見たときに数値だけを比べるより、攻撃元区分や可用性への影響といった内訳まで見て自社環境での位置づけを決めるほうが扱いやすいと感じます。幸い更新先の版は2件とも7.1.2-26と6.9.13-51で共通しているため、影響を受ける版を使っている環境なら、まとめて片付けられる形です。