Linux用リモートデスクトップ『xrdp』に認証不要で乗っ取りの脆弱性、計10件を一括修正 CVE-2026-41252ほか、0.10.6.1へ即更新を

LinuxのパソコンにWindowsの「リモートデスクトップ」で接続できるようにする人気ソフトxrdpに、ログイン前の段階で乗っ取られる恐れのある最悪級の脆弱性が見つかりました。開発元は2026年7月7日に修正版のxrdp 0.10.6.1を公開し、この1件を含む合計10件の欠陥をまとめて修正しています。

最も深刻なのは危険度を示すスコアが10点満点中9.8のCVE-2026-41252で、パスワードの入力すら必要とせずに悪用できます。Linuxのデスクトップに遠隔で入るためにxrdpをインターネットに向けて公開している環境では、早めの更新が必要です。何が起きるのか、どのくらい危ないのか、そして各Linuxでどう直すのかを整理します。

今回の脆弱性の概要

とくに影響が大きい2件を先に示します。いずれも修正版は0.10.6.1で、それより前のすべてのバージョン（0.10.6以前）が対象です。

「遠隔操作」とは、攻撃者がそのサーバー上で自分の狙ったプログラムを動かせてしまう状態を指します（専門的には任意コード実行と呼びます）。ログイン不要のCVE-2026-41252は、条件がそろえば認証を突破する前に成立してしまう点で危険度が高くなっています。

そもそもxrdpとは何か

xrdpは、LinuxやUNIX系のパソコンに、Windows標準の「リモートデスクトップ接続」からログインできるようにするためのオープンソースソフトです。ふだんWindows同士のリモート操作に使う純正の接続画面を、そのままLinux機に向けられるようになるため、社内のLinuxサーバーや開発用マシンに遠隔で入る用途で広く使われています。

今回問題になっている機能のひとつが「vnc-anyモード」です。これは、xrdpが受けた接続を、さらに別の画面共有ソフト（VNC）のサーバーへ橋渡し（中継）するための設定です。仕組みとしては、以前このサイトで取り上げた「悪意あるVNCサーバーに接続するだけで乗っ取られるLibVNCの脆弱性」と同じ系統で、接続する側が、接続先から送られてくるデータを信用しすぎていることが原因になっています。画面共有ソフトの脆弱性という意味では、UltraVNCで見つかった一連の脆弱性とも共通する構図です。

誰が狙い、何をしてくるのか

この穴を突いてくるのは、インターネットからアクセスできるxrdpのサーバーを探し回っている攻撃者です。リモートデスクトップの受け口は、探せば見つかる形でネットにさらされていることが多く、機械的にスキャンして狙える相手を洗い出す動きは日常的に起きています。

最も危ないCVE-2026-41252では、攻撃者がわざと細工した「悪意あるVNCサーバー」を用意し、xrdpにそこへ中継させることで、壊れたデータを送り込みます。xrdpはそのデータの大きさを十分に確かめないまま処理してしまうため、内部のメモリがあふれ、うまくいけば攻撃者のプログラムがサーバー上で動き出します。ここまでがログイン前に起こりうるのが、この脆弱性の怖いところです。

被害が現実になると、まずそのLinuxマシンの操作を奪われます。中に保存されたファイルや認証情報を抜かれ、社内ネットワークへの足がかりにされる恐れもあります。サービスとして動いていれば、その機能を使う人たちが一斉に接続できなくなり、運用する側は原因調査と復旧に追われることになります。まずは「自社にインターネット公開のxrdpがないか」を確認するのが第一歩です。

CVE-2026-41252：ログイン前に成立する最悪級の欠陥

開発元のセキュリティ勧告（GHSA-w5vg-6qmv-j63j）によると、この脆弱性はxrdpが「vnc-anyモード」で動作しているときに、中継先のVNCサーバーから送られてくる色の対応表（カラーマップ）のデータを処理する部分にあります。攻撃者が範囲外の値を含む細工メッセージを送ると、xrdpが確保していたメモリの領域を超えて書き込みが起き、ヒープと呼ばれる領域が壊れます（ヒープバッファオーバーフロー）。

勧告は影響を「認証前のサービス停止、あるいは遠隔でのコード実行につながる可能性がある」と説明しています。悪用にログインが不要な点が、危険度スコア9.8という高い数字の理由です。開発元は緩和策として、テスト用途以外では設定ファイルxrdp.iniの[vnc-any]の項目を無効にしておくことを勧めています。すぐに更新できない場合は、この設定の見直しが応急処置になります。

CVE-2026-44178：ログイン後に狙われる仮想チャネルの欠陥

もう1件のCVE-2026-44178（GHSA-hh7r-2rmq-q4g4）は、リモートデスクトップの「仮想チャネル」という、画面表示とは別にファイル転送やクリップボード共有などをやり取りする通信路の処理にあります。ログイン済みの利用者（もしくはその権限を持てた攻撃者）が、決められた大きさを超えるメッセージを送ると、こちらもメモリが壊れ、サービス停止やxrdpの権限でのコード実行につながる可能性があります。

こちらは悪用にログインが必要なぶん危険度は8.8と一段下がりますが、正規の利用者アカウントが1つでも乗っ取られれば踏み台にされ得るため、放置はできません。CVE-2026-41252と同じヒープバッファオーバーフローの一種です。

0.10.6.1で直ったその他の脆弱性

0.10.6.1では、上記2件のほかにも複数の欠陥が修正されています。多くはサービス停止（DoS）や情報の読み取りにつながるもので、開発元のセキュリティ勧告一覧で公開されています。主なものを挙げます。

個別に見ると深刻度は分かれますが、まとめて直っているため、0.10.6.1に上げれば一括で対処できます。とくにGHSA-m3xx-cpc4-982r（Xvnc起動時の認証欠落）は認証不要とされており、こちらも見逃せません。

各Linuxでの更新方法

xrdpは多くのLinuxでOS標準のソフト配布の仕組み（パッケージ）から入れて使うため、修正は各Linuxのセキュリティ更新として順次配られます。まずは自分の環境のxrdpを最新に上げるのが基本です。

配布のタイミングはディストリビューションごとに異なります。UbuntuはUSN-8476-1で、Debianはパッケージ追跡ページで対応状況を確認できます。ソースから自前で入れている場合は、GitHubのリリースから0.10.6.1以降へ上げてください。

いま確認しておきたいこと

• 公開範囲を見直す：xrdpの受け口（既定は3389番ポート）をインターネットに直接さらしていないかを確認します。社内やVPN経由に限定するだけでも、認証前に狙われるリスクは大きく下げられます。
• すぐ更新できないなら設定で応急処置：最も危ないCVE-2026-41252は中継機能が入口です。xrdp.iniの[vnc-any]を使っていなければ無効にしておきます。
• バージョンを確認する：導入済みのxrdpが0.10.6以前なら対象です。更新後に0.10.6.1以降になっているかを確かめます。
• 再起動を忘れない：更新後はxrdpのサービスを再起動しないと、古いプログラムが動いたままになることがあります。

まとめ

今回のxrdp 0.10.6.1は、ログイン前に遠隔操作までつながりうるCVE-2026-41252を含む10件をまとめて修正する重要な更新です。実際に攻撃が確認されたという報告は現時点でありませんが、リモートデスクトップの受け口はもともと狙われやすく、認証前に成立する欠陥は特に危険度が高いといえます。

対応はシンプルで、0.10.6.1以降へ更新することです。すぐに上げられない場合は、公開範囲の見直しと中継機能の無効化で当面のリスクを抑えられます。続報や各ディストリビューションの配布状況に動きがあれば、この記事に追記します。

参照元

• ▸ NVD - CVE-2026-41252
• ▸ xrdp Security Advisory GHSA-w5vg-6qmv-j63j（vnc-anyモードのヒープバッファオーバーフロー）
• ▸ NVD - CVE-2026-44178
• ▸ xrdp Security Advisory GHSA-hh7r-2rmq-q4g4（仮想チャネル転送のヒープバッファオーバーフロー）
• ▸ xrdp セキュリティ勧告一覧（GitHub）
• ▸ neutrinolabs/xrdp リリース（0.10.6.1）
• ▸ Ubuntu Security Notice USN-8476-1: xrdp vulnerabilities
• ▸ Debian Package Tracker - xrdp