LINE PC版インストーラに脆弱性 任意コード実行の恐れ

LINEヤフーが提供するLINE PC版（Windows版）のインストーラに、DLL読み込みに関する脆弱性（CVE-2026-13133）が公表されました。細工されたDLLがインストーラと同じフォルダに置かれた状態でインストーラを実行すると、実行したユーザーの権限で任意のコードが実行される恐れがあります。対象は26.4.0より前のバージョンで、修正版は26.4.0です。

ローカル攻撃のため深刻度は最上位ではありませんが、この種の脆弱性は「アプリを最新にしたから対応完了」で閉じられないという、運用上の厄介さを持っています。

この記事でわかること

• CVE-2026-13133の対象バージョンと修正版、深刻度
• なぜインストーラを実行しただけでコード実行に至るのか（仕組み）
• 本体を更新しても消えない「残存リスク」の正体
• 情シスが今日打てる、現実的な確認と対策

何が起きたのか

2026年8月10日、JVNおよびJVN iPediaで公表されました。要点は次のとおりです。

発見の経緯は、外部の発見者から情報セキュリティ早期警戒パートナーシップに基づきIPAへ届出があり、JPCERT/CCが開発者との調整を行った、という国内の標準的なルートです。悪用の事実は執筆時点で公表されていません。

なぜインストーラの実行でコード実行になるのか

ベンダーのアドバイザリによれば、原因はMsftedit.dll を安全な検索パスを指定せず相対パスで読み込んでいたことです。Windowsはプログラムが必要とするDLLを探すとき、既定では実行ファイルと同じディレクトリを、System32より先に見に行きます。そのため、インストーラと同じフォルダに Msftedit.dll という名前の偽物が置かれていると、本物より先にそちらが読み込まれてしまいます。

攻撃者はどうやってDLLを置くのか

「同じフォルダに攻撃者のファイルを置けるなら、もう侵入されているのでは」と思うかもしれません。しかし実務上、その条件が満たされやすい場所が一つあります。ダウンロードフォルダです。

• 利用者がWebからインストーラをダウンロードすると、多くの場合そのままダウンロードフォルダに置かれ、そこで実行される
• ダウンロードフォルダは、攻撃者が細工したサイトや圧縮ファイルを経由して攻撃者の用意したファイルが先に着地しやすい場所でもある。DLLは実行ファイルほど警戒されず、ファイル単体では何も起きないため見過ごされやすい
• 先にDLLを仕込み、後から利用者が自分の意思でインストーラを実行した瞬間に成立する

JPCERT/CCとIPAは、この構造そのものを注意喚起（JVNTA#91240916）として2017年から出し続けており、利用者側の回避策として「インストーラと同じディレクトリに不審なファイルがないか確認する」「新しい一時ディレクトリにコピーしてから実行する」「ダウンロードディレクトリにファイルを放置しない」を挙げています。裏を返せば、何年も繰り返し起き続けている類型だということです。

さらに補足しておくと、今回悪用対象となった Msftedit.dll は、DLLハイジャックの標的として既に知られているファイル名です。HijackLibsには、他の正規実行ファイルでもサイドローディングやファントム型のハイジャックが成立するDLLとして登録されています。読み込む側が正規の署名済みインストーラであるため、EDRやアプリケーション許可リストでは「正常な動作」に見えやすい点は、防御側として押さえておきたいところです。

「本体を更新すれば終わり」ではない理由

ここが今回のポイントです。脆弱なのはアプリ本体ではなくインストーラです。つまり、

• すでにLINE PC版を導入済みで、本体が26.4.0以降になっている端末であっても、
• 過去にダウンロードした26.4.0より前のインストーラのファイルが端末に残っていれば、
• それを何かの拍子に実行した時点で、脆弱性は成立する

という構図になります。脆弱なコードはインストーラの実行ファイルの中に固定されており、後からアプリを更新しても書き換わりません。資産管理ツールの「インストール済みソフトウェア一覧」を最新版で埋めても、この残存分は消えないのです。

これは以前扱ったTera Termのようなポータブル版ツールの脆弱性や、署名済みドライバを悪用するBYOVDと同じ型の問題です。いずれも「インストール状態の管理」では捕捉できず、ファイルとして端末に転がっているものが効いてきます。対応も自然と、資産一覧ではなくファイル検索と掃除になります。

ローカル攻撃だから後回しでよいか

CVSSはv3で7.8、v4で8.4。攻撃元区分はローカル（AV:L）で、利用者の操作（UI:R / UI:A）が必要です。この2条件を見て「リモートから撃たれるものではないし、優先度は下げてよい」と判断したくなりますが、内訳を見ると評価は変わります。

• 必要な「利用者の操作」は、インストーラをダブルクリックすることだけです。特殊な操作ではなく、ソフトを入れるときの日常動作そのものです。
• 機密性・完全性・可用性はいずれも「高」。成立すればその端末で任意コードが動きます。取られる権限は実行ユーザーのものですが、業務端末の利用者権限は、業務データとブラウザに保存された認証情報への十分なアクセスを持っています。
• スコープは変更なし（S:U）ですが、端末に足場ができれば次は横展開（ラテラルムーブメント）の問題になります。

スコアの数字だけでなく、「成立に必要な条件が業務の日常動作か」という観点を足して判断することをおすすめします。

現場目線での率直な課題

正直なところ、この手の脆弱性は情シスから最も見えにくい部類です。全社の端末のダウンロードフォルダに何が溜まっているかを日常的に把握している組織は、まずありません。棚卸しをかけても分かるのは「何がインストールされているか」までで、「どんなインストーラのファイルが放置されているか」までは追えないのが実情です。

加えてLINEは、業務利用の可否が組織ごとに分かれるソフトです。会社として業務利用を認めていない場合でも、端末に入っていない保証はありません。禁止のルールを掲げること自体は簡単ですが、実態の把握はそれほど簡単ではない、というもどかしさは多くの担当者が抱えているはずです。

だからこそ、今回のような案件では「全端末を完璧に調べる」を目標に置かないほうが現実的です。ファイル名で当たりを付けて広く検索し、見つかったら消す、そしてインストーラを一時フォルダに移してから実行する習慣を利用者に配る。この2つのほうが、費用対効果は高いと考えます。

情シスはどうすべきか

まず、公的機関がこの類型について出している資料を土台にするのが早道です。自前で長大なチェックリストを作るより確実です。

• JVNTA#91240916「Windows アプリケーションによる DLL 読み込みやコマンド実行に関する問題」（JPCERT/CC・IPA） … 今回の類型の総本山。利用者・管理者向けの回避策がそのまま社内アナウンスに使えます。まずはこれを読んでください。
• IPA「対策のしおり」 … エンドユーザー啓発向け。「ダウンロードしたファイルを放置しない」という地味な習慣を伝える教材として使えます。
• IPA「中小企業の情報セキュリティ対策ガイドライン」 … 専任者が少ない組織で、ソフトウェア利用ルールを整える際の下敷きに。

そのうえで、今回固有の確認としては次の3点です。

1. LINE PC版の利用実態を確認する。導入されている端末があれば26.4.0以降に更新する。
2. 端末に残っている古いインストーラを探して削除する。ダウンロードフォルダやデスクトップを対象に、LINEのインストーラのファイル名で検索をかけるのが手早い方法です。これは今回に限らず、他のソフトのインストーラにも同じことが言えます。
3. 「インストーラは新しい空フォルダに移してから実行する」を周知する。今回の脆弱性だけでなく、この類型すべてに効く回避策です。地味ですが、利用者に配れる打ち手として最も汎用性があります。

まとめ

1. LINE PC版（Windows版）26.4.0より前のインストーラにDLL読み込みの脆弱性（CVE-2026-13133、CVSS v3 7.8 / v4 8.4）。修正版は26.4.0。
2. 脆弱なのはインストーラなので、本体を更新しても端末に残った古いインストーラのファイルはリスクとして残る。資産一覧ではなくファイルの掃除が対応になる。
3. この類型はJPCERT/CC・IPAが2017年から注意喚起し続けている定番。「インストーラは空フォルダに移してから実行」の周知が、個別対応より効く。

出典

• JVN#40467227 LINE PC版（Windows版）のインストーラにおけるDLL読み込みに関する脆弱性
• JVNDB-2026-000109（JVN iPedia）
• LINE Security Advisory: CVE-2026-13133
• JVNTA#91240916 Windows アプリケーションによる DLL 読み込みやコマンド実行に関する問題
• HijackLibs: msftedit.dll