FastStone CVE-2026-30040、8.5が出たが修正か不明
無料の画像閲覧ソフト「FastStone Image Viewer」（8.3.0.0以前）に、細工した画像でパソコンを乗っ取られる恐れのある2件の欠陥（CVE-2026-30040 / 30041）が見つかりました。とくに前者はフォルダのサムネイル自動生成だけで発動します。開発元と連絡が取れず修正版は未提供。信頼できない画像を開かない等の自衛が必要です。
目次
無料の画像閲覧ソフト「FastStone Image Viewer」（8.3.0.0以前）に、細工した画像でパソコンを乗っ取られる恐れのある2件の欠陥（CVE-2026-30040 / 30041）が見つかりました。とくに前者はフォルダのサムネイル自動生成だけで発動します。開発元と連絡が取れず修正版は未提供。信頼できない画像を開かない等の自衛が必要です。
【訂正】2026年7月29日
初出時、「開発元と連絡が取れず、新しいバージョンも出ていない」という前提で書いていましたが、開発元はその後もバージョン8.4・8.5をリリースしています。開発元サイトと各アドバイザリを再確認し、次のとおり訂正します。
- ▸現在配布中の最新版は8.5（2026年6月24日公開）です。その前の8.4は2026年5月29日に公開されています（変更履歴／ダウンロードページ）。「開発元は沈黙している」という書き方は不正確でした。本件への回答はないものの、製品の開発自体は続いています
- ▸ただし、8.5が修正版であるという証拠はありません。8.4・8.5どちらの変更履歴にも、セキュリティ・脆弱性・JP2（JPEG 2000）・PSD・バッファオーバーフローへの言及が一切ありません。8.5はSVG対応の追加、PDFビューアのダークテーマ改善、PDFリンクの不具合修正など、8.4はPDF対応とJPEG XL対応が内容です
- ▸判断材料として、同じ変更履歴の7.0（2019年3月22日）には「Fixed a vulnerability that may cause program to crash on corrupted or ill-intentioned images」と明記されています。この開発元はセキュリティ修正を行った場合、変更履歴にそう書きます。今回は書いていません
- ▸CERT/CC VU#936962はRevision 1（2026年6月22日）のまま未改訂で、ステータスは「Unknown」、「We have not received a statement from the vendor.（開発元から回答を得ていない）」のままです。JVNVU#98582044も2026年6月23日のまま更新されておらず、対策欄はCERT/CCのアドバイザリを参照するよう案内するのみです
- ▸したがって、8.5で直ったかどうかは公開情報からは確認できません。本記事は「修正版なし」という判定を維持しますが、それは「8.5も脆弱だと確認された」という意味ではなく、「修正されたと確認できる材料がない」という意味です
- ▸あわせて、NVDが両CVEにCVSS 3.1のスコアを付与しました（CISA-ADPによる評価）。CVE-2026-30040は6.5（中）、CVE-2026-30041は7.5（高）です
| バージョン | 公開日 | 本件との関係 |
|---|---|---|
| 8.5（現在配布中） | 2026年6月24日 | 変更履歴に本件への言及なし → 対象かどうか不明 |
| 8.4 | 2026年5月29日 | 変更履歴に本件への言及なし → 対象かどうか不明 |
| 8.3 | 2025年12月1日 | CERT/CC・JVNが対象と明記（8.3.0.0以前） |
無料の画像閲覧・管理ソフトとして広く使われている「FastStone Image Viewer」に、細工した画像ファイルを通じてパソコンを乗っ取られる恐れのある欠陥が見つかりました。共通の脆弱性識別番号は CVE-2026-30040 と CVE-2026-30041 の2件。日本では2026年6月23日に JVN（JVNVU#98582044）、米CERT/CCも VU#936962 として注意喚起しています。
とくに警戒したいのは、本件を修正したと確認できるバージョンが、いまだに存在しない点です。開発元はその後8.4・8.5を公開していますが、どちらの変更履歴にも本件への言及がなく、CERT/CCも開発元からの回答を得られていません。アドバイザリが対象と明記しているのはFastStone Image Viewer 8.3.0.0 以前で、8.4・8.5が対象に含まれるかどうかは公開情報からは判断できません。なかでもCVE-2026-30040は、フォルダを開いた際のサムネイル自動生成だけで発動し、利用者が画像をクリックしなくても悪用され得る点が厄介です。当面は、信頼できない画像ファイルを開かない・処理させない運用で身を守る必要があります。
| 対象ソフト | FastStone Image Viewer 8.3.0.0 以前 （8.4・8.5は不明） |
| 脆弱性番号 | CVE-2026-30040 / CVE-2026-30041 （JVNVU#98582044） |
| 欠陥の種類 | ヒープバッファオーバーフロー 整数オーバーフロー |
| 危険度（CVSS 3.1） | CVE-2026-30040：6.5（中） CVE-2026-30041：7.5（高） |
| 起こりうること | 任意コード実行 （現在のユーザー権限） |
| 修正状況 | 修正版は確認できず（回避策で対応） |
| 公開日 | 2026年6月（JVN・CERT/CC） |
この欠陥は誰に、どんな被害をもたらすのか
狙われるのは、FastStone Image Viewerを使う人に、細工した画像ファイルを開かせたり、フォルダに紛れ込ませたりしようとする攻撃者です。メール添付や配布サイト、共有フォルダ、USBメモリなど、画像を受け取る経路はいくらでもあります。「ただの画像」だと思って受け取るところに付け込まれます。
こわいのは発動の手軽さです。CVE-2026-30040は、細工ファイルの入ったフォルダをFastStoneで表示しサムネイル（縮小版の一覧）が自動生成されるだけで、画像を開く操作すらせずに悪用され得ます。もう一方のCVE-2026-30041は、細工したPSD（Photoshop形式）ファイルを処理したときに発動します。いずれも成功すると、攻撃者はそのパソコン上で任意のプログラムを実行でき、実行は今ログインしている利用者の権限で行われます。
被害は、写真・書類などの個人ファイルや保存した認証情報の窃取、パソコンの乗っ取り、さらにそこを起点としたランサムウェア感染や社内ネットワークへの侵入の足場づくりにまで及びえます。とりわけ今回は、「最新版に上げれば安心」という通常の対処が使えません。最新版の8.5は存在しますが、それが本件を塞いでいるという裏付けがないためです。だからこそ、後述する回避策が重要になります。
技術的に何が起きているのか
CVE-2026-30040はヒープバッファオーバーフロー（CWE-122）です。CERT/CCのVU#936962によると、自動サムネイル生成の際にディレクトリを走査して2階層以内のファイルを処理する過程で発生し、メモリの確保サイズを超える書き込みによって、プログラムの実行位置を決める命令ポインタ（EIP）を上書きできるとされます。これが任意コード実行につながります。
CVE-2026-30041は整数オーバーフロー（CWE-190）に起因し、その結果ヒープバッファオーバーフローを引き起こします。細工したPSDファイルの処理時に発動し、命令ポインタを制御することでコード実行、あるいはソフトのクラッシュ（サービス妨害）を招く可能性があります。なおNVDがこのCVEに紐付けた分類はCWE-400（リソースの枯渇）で、CVEの説明文にある整数オーバーフローとは別の切り口の分類が付いています。いずれにせよ、画像の中に仕込んだ不正なデータを、ソフトが安全に扱いきれていないことが原因です。
危険度を数値で示すCVSS 3.1のスコアは、NVDの評価（CISA-ADPによる付与）でCVE-2026-30040が6.5（中）、CVE-2026-30041が7.5（高）です。最高値の10.0に迫るほどではないものの、いずれも利用者に細工ファイルを触らせるだけで成立する点を考えると、軽く見てよい水準ではありません。
いま分かっていること・まだ分からないこと
✓ 確認済みの事実
- ✓CVE-2026-30040はサムネイル自動生成で発動し任意コード実行に至り得る（無操作で発火）（CERT/CC）
- ✓CVE-2026-30041は細工PSDの処理で発動し、コード実行またはクラッシュを招く
- ✓アドバイザリが対象と明記しているのは8.3.0.0以前（JVN）
- ✓開発元は8.4（2026年5月29日）・8.5（2026年6月24日）を公開済み。ただしどちらの変更履歴にも本件への言及はありません（変更履歴）
- ✓CERT/CCは開発元から回答を得られておらず、VU#936962のステータスは「Unknown」のまま（CERT/CC）
- ✓CVSS 3.1はCVE-2026-30040が6.5（中）、CVE-2026-30041が7.5（高）（NVD）
? 現時点で未確認のこと
- ?8.4・8.5で本件が修正されたのか ― 変更履歴に記載がなく、CERT/CCも開発元の回答を得られていないため判断できません。逆に「8.4・8.5も脆弱だ」と検証した報告も見当たりません
- ?実環境での悪用が観測されたか ― 2026年7月27日版のCISA KEVにFastStoneの項目はなく、実証コード（PoC）の公開も公開情報上は見当たりません
- ?開発元が本件をどう扱うつもりなのか ― 本件について公に回答した形跡はありません。ただし新バージョンの公開は続いており、開発が止まっているわけではありません
いま何をすべきか
修正されたと確認できるバージョンがないため、当面は「危険なファイルを処理させない」運用が基本になります。CERT/CCは、信頼できない出所のJP2（JPEG 2000）やPSDなどの画像ファイルをダウンロード・処理しないことと、制限付き（管理者でない）アカウントで利用することを推奨しています。万一悪用されても、被害を現在のユーザー権限の範囲に抑えられます。
あわせて、出所不明の画像が入ったフォルダをFastStoneで開かない（サムネイル自動生成を避ける）、心当たりのない添付画像は開かない、といった基本動作が有効です。どうしても確認が必要なファイルは、ネットから隔離した環境や別の閲覧ソフトで扱う、という手もあります。FastStoneを業務で広く使っている場合は、代替ソフトの検討や、サムネイル機能の扱いを見直しておくとよいでしょう。
ここで注意したいのが、開発元サイトで最新版を見つけても、それが修正版とは限らないことです。いまダウンロードページを開くと8.5が配布されていますが、本件を塞いだという説明はどこにもありません。バージョン番号が上がったことだけを根拠に「もう安全になった」と判断しないでください。確認すべきなのは、次の2点です。
▸ 修正されたかどうかを見分ける手がかり
- 1CERT/CC VU#936962が改訂されているか。ページ上部のRevision番号と日付が2026年6月22日のRevision 1から進み、開発元のステータスが「Unknown」から変われば、開発元の回答が届いたということです。JVNのJVNVU#98582044も同じタイミングで更新されるはずです
- 2開発元の変更履歴に、セキュリティ関連の記載が入るか。この開発元は7.0（2019年3月22日）で「Fixed a vulnerability that may cause program to crash on corrupted or ill-intentioned images」と書いた実績があり、修正すればそう書くと期待できます。「vulnerability」「security」「crash」やJP2・PSDといった語が新しい版の履歴に現れるかを見てください
まとめ
FastStone Image Viewer 8.3.0.0以前には、細工した画像を通じて任意コード実行に至り得る2件の欠陥（CVE-2026-30040：CVSS 6.5 / CVE-2026-30041：CVSS 7.5）があり、とくに前者はサムネイル自動生成だけで発動し得ます。開発元は8.4・8.5を公開していますが、本件を修正したという記載はどこにもありません。信頼できない画像を処理させない・制限付きアカウントで使う、といった回避策での自衛が要点です。
「ただの画像」が攻撃の入口になり得るというのは、見落とされがちなリスクです。修正が確認できるまでは、バージョン番号ではなくCERT/CCの改訂と変更履歴のセキュリティ記載を手がかりにしつつ、受け取る画像の出所に一段の注意を払うことをおすすめします。
参照元
堀川 慎
Backend Engineer / AWS / Django / Go