miCheckerにXXE脆弱性、総務省が対策版

【更新 2026-08-19】本記事を見直し、修正しました。主な修正点：①公表日の表記を訂正しました（2026年8月5日は開発元Eclipse FoundationによるCVEの公開日で、脆弱性情報の初出は開発元ページの2026年7月30日です。総務省の脆弱性情報ページに公開日の記載はありません）。②対策版について、総務省のダウンロードページで実際に配布されているのが Ver.3.20（v3.2）である点を追記しました。③当サイト内の存在しない記事へのリンク1件を削除しました。

総務省が提供するウェブアクセシビリティ評価ツール「miChecker」に、XML外部実体参照（XXE）の脆弱性 CVE-2026-14304 が公表されました。影響を受けるのはバージョン3.1.0以前のすべてのバージョンで、対策版は3.1.1以降です（総務省のダウンロードページで実際に配布されている対策版は Ver.3.20＝v3.2）。悪用されると、miCheckerが動いている端末を経由して、ローカルのファイルや内部ネットワークのリソースにアクセスされるおそれがあります。

CVSS基本値はv3.0で3.3（低）、v4.0で4.6（中）と決して高くありません。しかしこのツールが置かれている場所と、扱う入力の性質を踏まえると、スコアだけで判断を終えるのは早計です。

この記事でわかること

miCheckerとは何をするツールで、社内の誰が使っているのか
CVE-2026-14304の内容と、公式に案内されている対策・回避策
CVSS「低」でも軽視できない理由（設置場所と入力元から考える）
情シスにとって本当に厄介な点＝管理外の無料ツールという性質

miCheckerとは何か──「うちは使っていない」と即断できない理由
何が起きたのか
1. XXE（XML外部実体参照）とは何ですか？
CVSS「低」をどう読むか
現場目線の課題──管理外のフリーソフトに対策を打つ難しさ
情シスはどうすべきか
miCheckerだけの話ではない
まとめ
出典

miCheckerとは何か──「うちは使っていない」と即断できない理由

miChecker（エムアイチェッカー）とは、ウェブページが高齢者や障害のある人にとって使いやすいかを検証する、総務省提供の無料のアクセシビリティ評価ツールです。日本産業規格 JIS X 8341-3:2016（W3CのWCAG 2.0がベース）への対応状況を、機械的に判定できる項目は自動で評価し、人の目が必要な項目は検証作業を支援する形で助けてくれます。Windows上で動くデスクトップアプリケーションです。

誰が使うのか。もともとの主な利用者は、官公庁や地方公共団体のウェブ担当部署です。公的機関のサイトはアクセシビリティ対応が求められるため、その検証作業に使われてきました。加えて2024年4月1日施行の改正障害者差別解消法により、民間事業者の合理的配慮の提供が努力義務から法的義務に変わりました。これを受けて、民間企業の広報部門・ウェブ担当や、制作を請け負う外部の制作会社にも利用が広がっています。

そして最も重要な点です。miCheckerは、情シスが選定して配布したソフトウェアではないことがほとんどです。無料で公開されており、広報課やウェブ担当が自分でダウンロードして端末に入れて使っている──つまり資産管理台帳に載らないまま社内の端末で動いている典型的なパターンです。「そんなツール、うちには入っていない」と思った情シス担当者ほど、まず広報・ウェブ担当部署に確認してください。

なお開発体制も押さえておくと理解しやすくなります。miCheckerのソースコードは総務省からEclipse Foundationのアクセシビリティツール基盤「Eclipse ACTF」に寄贈されており、機能・性能・品質の改善が続けられています。今回の脆弱性情報でベンダとしてEclipse Foundationの名前が出てくるのはこのためです。

何が起きたのか

miCheckerが字幕ファイル（SMIL形式）を読み込む際のXML解析処理に、XML外部実体参照（XXE、CWE-611）の脆弱性がありました。細工された字幕ファイルを読み込ませることで、アプリケーションから意図しない通信が発生し、ローカルリソースや内部ネットワークリソースへ不正にアクセスされる可能性があります。

項目	内容
CVE番号	CVE-2026-14304
脆弱性の種類	XML外部実体参照（XXE） / CWE-611
影響を受けるバージョン	miChecker 3.1.0 およびそれ以前のすべてのバージョン
対策版	miChecker 3.1.1 以降（総務省が配布している対策版は Ver.3.20＝v3.2。同ページの更新履歴に「XXEに関する脆弱性への対応」と明記）
CVSS基本値	v3.0: 3.3（低） / v4.0: 4.6（中）
公表	開発元（Eclipse Foundation）2026年7月30日 / CVE公開 2026年8月5日 / JVN・JVNDB 2026年8月17日（総務省の脆弱性情報ページに公開日の記載はなく、2026年8月6日時点での公開が確認できます）
開発・提供	Eclipse Foundation（開発） / 総務省（提供）
回避策	「字幕（SMIL形式）を開く」機能の利用を停止する

本件は情報セキュリティ早期警戒パートナーシップに基づき、松橋勇輝氏がIPAに報告し、JPCERT/CCが開発者との調整を行って公表されたものです。悪用が確認されたという発表は、現時点では出ていません。

XXE（XML外部実体参照）とは何ですか？

XXEとは、XMLの「外部実体参照」という機能を悪用し、XMLを読み込んだプログラムに攻撃者の指定したファイルやURLを読ませる攻撃手法です。XMLには外部のファイルやURLの中身を文書に取り込む仕組みがあり、これを無効化せずにXMLを解析すると、細工された文書を読ませるだけでローカルファイルの中身が漏れたり、そのプログラムが動いている場所から任意の宛先に通信を発生させられたりします。

後者は実質的にSSRF（サーバサイドリクエストフォージェリ）と同じ性質を持ちます。当サイトでもLangflowのSSRF脆弱性やプロンプトインジェクションがSSRFに化ける話を扱いましたが、共通する怖さは「攻撃者が自分では到達できない内側のネットワークに、内側にいるプログラムを使って手を伸ばせる」点にあります。

CVSS「低」をどう読むか

CVSS v3.0で3.3（低）にとどまっているのは、攻撃に利用者の操作（細工された字幕ファイルを開かせること）が必要で、直接コード実行に至るわけでもないためです。日々大量のCVEを捌いている情シスなら、この数字を見て後回しにするのが通常の判断でしょう。その判断自体は間違っていません。

ただし、CVSSの基本値は「製品そのものの性質」を表す数値であって、自社の環境でどれだけ危ないかまでは表しません。そこを補うのが環境評価基準の考え方です（CVSSとは？深刻度を評価する仕組み）。本件を環境に置き直すと、次の2点が効いてきます。

動いている場所が「内側」である。miCheckerは庁内LAN・社内LANの中の業務端末で動きます。XXEによる外向き通信は、境界防御の内側からの内部ネットワーク探索に使えます。外からのスキャンより情報価値は高くなります。
入力が「外部のウェブサイト」でありうる。miCheckerは本来ウェブページを検証するツールです。自社サイトだけを検証しているうちは攻撃者が細工したファイルを食わせるのは困難ですが、他社サイトや参考サイトの検証、受託先サイトのチェック、「このページを見てほしい」と外部から送られてきたURLの検証といった運用があると、入力が攻撃者の制御下に入りえます。

つまり、スコアが低いことと、放置してよいことは同じではありません。自社の使い方が上記に当てはまるなら、優先度を一段上げる合理的な理由があります。

現場目線の課題──管理外のフリーソフトに対策を打つ難しさ

正直なところ、この脆弱性で一番やっかいなのは技術的な深刻度ではなく、対策を届けられるかどうかです。

総務省が案内している対策手順は「既存のアプリケーションを一度アンインストールしてから、対策版をインストールする」というものです。上書き更新ではなく入れ直しを求めている点に注意してください。この手順自体は難しくありません。難しいのは、情シスが配ったわけではないソフトが、どの端末に何本入っているのか分からないことです。

資産管理ツールでOSの更新プログラムは全台きれいに見えているのに、現場が業務のために自分で入れた無料ツールだけが穴になっている──この構図は、情シスなら何度も経験があるはずです。端末の細部まで目が届かない、けれど何かあれば責任は問われる。限られた人員でそこまで見きるのは、率直に言って簡単ではありません。今回の件は、その弱いところを正確に突いてきた形です。

だからこそ本件の実務上の第一歩は、パッチ適用ではなく棚卸しになります。見えない依存をどう棚卸すかという論点は、ライブラリの同梱だけでなく「現場が勝手に入れたツール」にもそのまま当てはまります。

情シスはどうすべきか

本件に限れば、やることは多くありません。

使っている部署を特定する。広報・ウェブ担当・アクセシビリティ対応の担当部署に確認します。並行して、資産管理ツールやEDRで「miChecker」を含むフォルダ名・実行ファイル名を検索し、実態と申告を突き合わせます。
バージョンを確認する。アプリケーション上でバージョンを確認し、総務省の脆弱性情報ページの記載（3.1.0以前が対象）と突き合わせます。
対策版へ入れ替える。アンインストールしてから対策版（3.1.1以降。総務省のダウンロードページで配布されているのは Ver.3.20 です）をインストールします。総務省の公式ダウンロードページ以外から入手しないよう、利用部署に一言添えてください。
すぐに入れ替えられない場合は回避策を適用する。「字幕（SMIL形式）を開く」機能を使わない運用にします。ただしこれは人の注意力に依存する対処であり、恒久対策は入れ替えです。

そのうえで、根本的な課題である「現場が入れた管理外ソフト」に手を付けるなら、自前でチェックリストを作り込むより公的な指針に沿ったほうが早く、説明もしやすくなります。IPAの中小企業の情報セキュリティ対策ガイドラインは、ソフトウェアの把握と更新の考え方を含めて実務目線でまとまっています。利用部署への周知には、エンドユーザ向けに平易な対策のしおりが使えます。「勝手に入れるな」と禁止するより、入れたものを申告してもらう導線をつくるほうが結果的に機能します。地道な啓発ですが、管理外ソフトの問題はここを避けて解けません。プロセス全体の考え方は脆弱性管理とは？プロセスと情シスの進め方にまとめています。

miCheckerだけの話ではない

見落としやすいのは、公的機関が提供・配布する業務用デスクトップアプリも、当然ながら脆弱性管理の対象であるという点です。JVNには過去にも、e-Taxソフト、申請用総合ソフト、申請人プログラム、防衛省が提供する電子納品物作成支援ツールなど、公的機関が関わるツールのXML外部実体参照（XXE）に関する脆弱性が公表されています。XMLを扱う業務系ツールで繰り返し現れているパターンです。

これらのツールには共通点があります。特定の業務のために特定の担当者だけが使い、更新は手動で、そして情シスの管理下にないことが多い。ベンダー製品のように自動更新が効かないぶん、脆弱性が出たときに気づく人がいないのです。「公的機関が出しているものだから安全」という感覚は、この文脈では通用しません。今回を機に、業務部門が使っている官公庁提供ツールを一度リストにしておくと、次に同種の情報が出たときの初動が確実に速くなります。

まとめ

miChecker 3.1.0以前にXXE脆弱性（CVE-2026-14304）。対策版は3.1.1以降（総務省が配布しているのは Ver.3.20）で、アンインストールしてから入れ直す手順が案内されています。すぐに入れ替えられない場合は「字幕（SMIL形式）を開く」機能の停止で回避できます。
CVSSは低（v3.0で3.3）だが、環境しだいで意味が変わる。動くのは社内LANの内側の端末で、検証対象として外部サイトを読み込む使い方があるなら、内部ネットワーク探索の足がかりになりえます。
本当の課題は棚卸し。miCheckerは情シスが配ったソフトではなく、広報・ウェブ担当が自分で入れていることが多いツールです。まず「誰が使っているか」を特定するところから始めてください。