FFmpegは安全か？字幕・音声・動画処理に脆弱性が相次ぐ CVE-2026-64830ほか、8.1.2でも要再更新

「FFmpegは安全に使えるのか」——動画や音声の変換に世界中で使われているこの定番ソフトについて、そう不安に思って検索する人が増えています。結論から言うと、FFmpeg自体は信頼できる無料ソフトですが、古いまま使い続けると危険です。2026年に入って深刻な脆弱性（プログラムの欠陥）の報告が相次いでおり、細工された動画や字幕ファイル1個でパソコンやサーバーを乗っ取られる恐れがあります。

2026年7月23日、その流れのなかで危険度8.8（高）の脆弱性が新たに4件まとめて公表されました。字幕ファイルの読み込み（CVE-2026-64830）、動画のハードウェア再生（CVE-2026-64831／CVE-2026-64832）、音声の読み込み（CVE-2026-64835）と、狙われた場所は違いますが、いずれも悪用されればプログラムを勝手に実行される恐れがあります。注意したいのは、これら4件が6月の修正版8.1.2でも直っていない点です。「6月に8.1.2へ上げたから安心」と思っている人も、もう一度更新の確認が必要になります。

この記事では、「FFmpegは結局安全なのか」という疑問に答えながら、7月に公表された新しい4件の中身、6月に注意喚起したCVE-2026-8461との関係、自分が影響を受けるかどうかの見分け方、そして安全に使い続けるための更新手順までをまとめます。

2026年7月に新たに公表された4件の脆弱性

まず、いま最も新しい注意点である7月公表の4件を見ていきます。いずれもメモリの扱いを誤る種類の欠陥（バッファオーバーフローや二重解放）で、細工したファイルを処理させることでFFmpegに想定外の書き込みや解放をさせ、最悪の場合は攻撃者のプログラムを実行させられます。深刻度は10点満点で、9以上が「緊急」、7〜8点台が「高（重要）」です。

CVE-2026-64830：字幕ファイルを読み込ませてメモリを破壊する

1件目は、DVDなどで使われる字幕形式「VobSub」（拡張子 .sub / .idx の2つで1組になる字幕）を読み込む部分の欠陥です。NVD（米国の脆弱性データベース）によると、この字幕ファイルの中に、想定を超える数の「ストリームID」（字幕の通し番号のような値）を詰め込んだ細工をすると、FFmpegが用意した箱の外にまでデータを書き込んでしまいます（ヒープ領域の境界外書き込み、CWE-787）。この結果、ソフトの異常終了や、さらに深刻な場合は攻撃者のプログラム実行につながる恐れがあります。

影響を受けるのは2.1から8.1.2までという非常に幅広いバージョンで、長年動いてきた多くの環境が対象です。字幕は動画と一緒に自動で読み込まれることが多く、「動画を再生・変換したら付属の字幕も処理された」という形で、利用者が意識しないまま条件が満たされる点に注意が必要です。修正はFFmpegの開発版に取り込まれており（修正用プルリクエスト #23657）、後述のとおり各OSの更新パッケージなどで適用します。

CVE-2026-64831：Vulkan方式のHEVC動画再生でスタックがあふれる

2件目は、新しめの動画圧縮方式「HEVC（H.265）」を、Vulkanという描画技術を使ってハードウェアで再生・処理する部分の欠陥です。NVDによると、動画の内部設定を記した値（HEVCの階層数を示すパラメータ）に、上限を超える異常な数値を仕込むと、プログラムが一時的に値を置いておく「スタック」という領域があふれます（スタックバッファオーバーフロー、CWE-121）。この細工は、MP4やMKVなどFFmpegが扱えるさまざまな動画の入れ物（コンテナ）に埋め込めるため、見た目は普通の動画ファイルを装えます。

評価指標は「ネットワーク経由・認証不要・利用者の操作が必要（AV:N/AC:L/PR:N/UI:R）」で、要は攻撃者が用意した動画を誰かが再生・処理してしまえば成立します。対象は8.0から8.1.2までのバージョンです。この方式のハードウェア再生を使っていない環境では影響は限定的ですが、対象かどうかの確実な切り分けは難しいため、素直に更新するのが安全です。修正コミットは開発版に取り込まれています。

CVE-2026-64832：NVIDIA方式のハード再生でメモリを二重に解放する

3件目は、NVIDIAのGPUを使って動画をハードウェアで再生・変換する仕組み「NVDEC」の欠陥です。NVDによると、デコード（再生）に使う作業領域が尽きたときのエラー処理で、同じ管理データを2回続けて解放してしまう問題がありました（二重解放、CWE-415）。一度解放したメモリをもう一度解放しようとすると、プログラムの内部状態が壊れ、細工した動画を通じてメモリ破壊やコード実行につながる恐れがあります。対象は4.4から8.1.2までと幅広く、修正コミットが開発版に取り込まれています。NVIDIAのGPUによるハードウェア再生（NVDEC）を使う変換サーバーやアプリが主に関係します。

CVE-2026-64835：ゲームなどで使われるADX音声ファイルで境界外アクセス

4件目は、動画ではなく音声の読み込み部分の欠陥です。対象は「ADX」（拡張子 .adx / .aax など、主にゲームの音声で使われる形式）を読み込むデコーダーです。NVDによると、音声の途中でチャンネル構成（左右などの音の並び）が切り替わったときに内部の状態を正しく更新できず、用意した箱の外を読み書きしてしまいます（境界外の読み書き、CWE-787）。細工したADX/AAXファイルを処理させると、メモリ破壊やコード実行につながる恐れがあります。こちらも対象は4.4から8.1.2までで、修正は開発版に取り込まれています（修正用プルリクエスト #23659）。

重要なのは、これら4件はいずれも8.1.2を含むそれ以前が対象で、6月の修正版8.1.2に上げただけでは塞げないという点です。公開時点で番号付きの新しい安定版はまだ出ていないため、各OS・ディストリビューションのセキュリティ更新パッケージが出次第それを適用するか、自前でビルドしている場合は修正コミットを含む最新の開発版に更新してください（詳しい手順は後半で説明します）。

FFmpegは安全に使えるのか

FFmpegは、世界中の動画サービス・配信・編集ソフトの裏側で動いている無料のオープンソースソフトウェア（誰でも中身を見られ、無料で使えるプログラム）です。長年使われ、多くの開発者の目に触れてきた信頼性の高いソフトであり、「危険なソフトだから避けるべき」というものではありません。普段どおり自分で用意した動画を変換して使う分には、過度に怖がる必要はありません。

ただし、安全かどうかを分けるのは「どう使うか」です。リスクが高まるのは次の2つの場合です。ひとつは、古いバージョンを更新せずに使い続けていること。もうひとつは、出所のわからない動画や字幕ファイルを処理していることです。FFmpegの弱点の多くは、さまざまな形式を読み込む「デコーダー」や「読み込み処理」と呼ばれる部分に潜みます。攻撃者は、この読み込みがつまずくように細工したファイルを送り込んできます。逆に言えば、最新の修正を当て、信頼できるファイルだけを扱っていれば、危険の大半は避けられます。

問題は、2026年に入ってFFmpegの脆弱性報告が目立って増えていることです。背景にあるのがAIを使った脆弱性発見の広がりで、2026年6月にはAIエージェントがFFmpegの約150万行に及ぶプログラムを自動で解析し、21件もの未知の脆弱性（ゼロデイ）を発見したと報じられました。つまり「FFmpegが急に危険になった」のではなく、これまで見つかっていなかった弱点が次々と表に出てきている段階です。だからこそ、こまめな更新がこれまで以上に安全のカギになります。7月の4件も、6月のCVE-2026-8461も、その流れのなかで注意すべき具体例です。

FFmpegとは何か、なぜ多くの人に関係するのか

FFmpegは、動画・音声ファイルを別の形式に変換したり、再生・録画したりするための無料ソフトです。単体のアプリというより、多くのアプリやサービスの裏側に部品として組み込まれている「縁の下の力持ち」です。

たとえば、動画投稿サイトがアップロードされた動画を自動で変換する処理、配信サービスのサムネイル生成、パソコンの動画プレイヤー、録画・配信ソフトなど、動画を扱う場面の多くでFFmpegが動いています。Macで人気の動画プレイヤーIINAや、自宅メディアサーバーのJellyfinのように、FFmpegを土台にしたソフトも数多くあります。自分では「FFmpegを使っている」と意識していなくても、間接的に動かしているケースがほとんどです。これが、「FFmpegは安全か」という問いが多くの人に関係する理由でもあります。

今回の弱点はいずれも、FFmpegがさまざまな形式のファイルを読み込む・再生する部分にあります。7月の4件は「字幕の読み込み」「Vulkan方式のHEVC再生」「NVIDIA方式のハード再生」「ADX音声の読み込み」、6月の1件は「MagicYUVという録画形式の読み込み」と、狙われた場所は違いますが、「外から来たファイルを解釈する入口が弱点になる」という構図は共通しています。

誰が狙い、何を持っていくのか

「ファイルを開いただけで乗っ取られる」と言われても、自分とは縁遠い話に聞こえるかもしれません。けれど今回の一連の脆弱性が本当に怖いのは、攻撃の入口が「ただの動画や字幕ファイル1個」という、誰もが日常的に受け取るものだという点にあります。誰が、何のためにこの穴を踏ませにくるのかを整理しておきます。

狙ってくるのは、たとえば動画共有サービスやSNSにわざと壊れた動画・字幕を投稿する人間、業務用の動画変換システムに「サンプル映像です」と装ったファイルを送りつけてくる人間です。彼らが欲しいのは、その変換サーバーに保管された会員の登録メールアドレスとパスワード、決済に使うクレジットカード番号、まだ公開していない映像作品、社内の認証キーです。細工されたファイルが変換処理に1本流れ込んだ瞬間、その箱の中身を取り出す通り道が相手の側に開きます。

技術的に言えば、攻撃者は事前の偵察で「このサービスは投稿ファイルをFFmpegで自動処理している」と見当をつけ、処理にだけ反応する壊れたファイルを用意します。利用者がアップロードするファイルは普通そのまま信用して処理されるため、攻撃者は正規の投稿フォームをそのまま入口に使えます。サーバー側が気づく前に処理が走り、運が悪ければサーバーの操作権限そのものが奪われます。一度入口を握られれば、同じ仕組みで動く他の利用者のデータまで芋づる式に危険にさらされます。

「危険度8.8」という数字は、あくまで技術的な深刻さを示す目盛りにすぎません。サービスを運営する人にとって本当に失われるのは、預かっていた利用者の個人情報と、二度と取り戻せない「あの会社のサービスは安全だ」という信頼です。ファイルを1本処理しただけでそこまで届いてしまうのが、この種の脆弱性の怖さです。だからこそ、悪用が広がる前に最新の修正を当てておくことが何より大切になります。

自分は影響を受けるのか、どう更新するか

FFmpegは使い方が幅広いため、立場によってリスクの大きさが変わります。下の表で自分の状況を確認してください。今回の7月の4件は8.1.2でも未修正のため、「やるべきこと」は最新の修正版への更新になります。

FFmpegはOSやアプリに部品として組み込まれていることが多いため、「自分のパソコンのどこにFFmpegが入っているか」を把握するのは簡単ではありません。OSやディストリビューション（Ubuntuなどの配布形態）ごとの入手経路と更新方法を下にまとめます。7月の4件は公開時点で新しい安定版がまだ出ていないため、各配布元がセキュリティ更新を出したかを確認するのが確実です。

なお、6月に注意喚起したCVE-2026-8461（後述）については、修正版8.1.2へ上げれば塞がります。7月の4件はそれに加えて、その先の修正が必要になる、という二段構えだと理解しておくとよいでしょう。

6月に注意喚起した脆弱性 CVE-2026-8461（MagicYUV）とは

ここからは、2026年6月18日に公開され、当サイトでも注意喚起してきたCVE-2026-8461を振り返ります。危険度は8.8（高）で、影響を受けるのは8.1.2より前のすべてのバージョン。修正版の8.1.2に更新すれば塞げます。7月の4件とあわせて確認しておきたい1件です。

問題になったのは、FFmpegの中の「MagicYUV」という動画形式を読み込む部分です。MagicYUVは、画質を落とさずに録画・編集できる動画形式で、ゲーム実況の録画や映像制作の現場で使われています。脆弱性の種類は「境界外書き込み」（CWE-787）で、プログラムが用意したメモリの「箱」の外に、誤ってデータを書き込んでしまう欠陥です。具体的には、動画処理部品「libavcodec」の中のMagicYUV読み込みファイル（libavcodec/magicyuv.c）にこの問題がありました。

攻撃者が中身のサイズなどを細工した不正なMagicYUV動画を読み込ませると、本来書き込んではいけないメモリ領域に書き込みが行われ、軽い場合でソフトの異常終了（DoS）、深刻な場合はリモートコード実行につながります。CVEの公式記録でも「サービス妨害を引き起こし、場合によってはリモートコード実行に悪用されうる」と記載されています。報告したのはJFrog社のセキュリティ研究チームで、米CISAの初期評価では現時点で「実際に攻撃された形跡は確認されていない」とされています。修正の詳細は修正用プルリクエスト #23159で公開されています。

FFmpegを安全に使い続けるには

CVE-2026-8461に限らず、FFmpegを安全に使い続けるための原則は次の3つです。第一に、最新の修正を当て続けること。脆弱性の大半は更新で塞がれます。今回のように「8.1.2でも新しい弱点が残る」ことがあるため、一度更新して終わりにせず、FFmpegのセキュリティ情報や配布元の告知を定期的に確認するのが安全です。第二に、出所のわからないファイルを処理しないこと。FFmpegの弱点は動画・字幕の読み込み部分に集中するため、信頼できないファイルを開かないだけでリスクは大きく下がります。第三に、サービスで使う場合は変換処理を隔離すること。利用者が投稿したファイルを変換するときは、形式を制限し、本体から切り離した環境（サンドボックス）で処理すれば、万一弱点を突かれても被害を閉じ込められます。

すぐに更新できない事情がある場合の応急策としては、出所のわからない動画・字幕ファイルを処理しない、利用者が投稿したファイルを変換する前に形式を制限する、といった対策が時間稼ぎになります。ただし根本対応はあくまで更新です。自社サービスがどのソフトのどのバージョンを使っているか把握しきれていない場合は、依存しているOSS（オープンソースソフトウェア）をまとめて点検するのが近道です。当サイトのOSS脆弱性スキャナーのように、使っている部品の一覧から危険なバージョンを洗い出す仕組みを使うと、こうした「気づかないうちに古い部品を使っていた」状況を見つけやすくなります。

なぜFFmpegの脆弱性がこれほど相次ぐのか

FFmpegの脆弱性報告は2026年に入って目立って増えています。背景のひとつが、すでに触れたAIを使った脆弱性発見の広がりです。2026年6月には、AIエージェントがFFmpegの約150万行に及ぶプログラムを自動で解析し、21件もの未知の脆弱性（ゼロデイ）を発見したと報じられました。それぞれに実際に再現できる攻撃手順まで付いていたとされ、セキュリティ業界で大きな話題になりました。

FFmpegは無数のサービスの土台でありながら、開発を支えているのは少数のボランティアです。膨大なプログラムを少人数で守る一方で、AIが次々と弱点を見つけ出す時代に入りました。7月の4件も6月のCVE-2026-8461も、こうした「基盤ソフトの穴が次々に掘り起こされる」流れの中で表に出た弱点と見ることができます。これは「FFmpegが危ない」という話ではなく、広く使われる基盤ソフトほど弱点が表に出やすくなったという、いまのソフトウェア全体に通じる変化です。動画を扱うソフトを使う側にとっては、こまめな更新の重要性がこれまで以上に増しています。

よくある質問

Q. 6月に8.1.2へ更新しました。もう安心ですか？

A. 6月のCVE-2026-8461については8.1.2で塞がれています。ただし7月に公表された4件（CVE-2026-64830・64831・64832・64835）は8.1.2でも未修正のため、追加で最新の修正（各OSのセキュリティ更新や新しいビルド）を当てる必要があります。一度更新して終わりにせず、配布元の告知を確認してください。

Q. FFmpegは安全なソフトですか？使い続けて大丈夫ですか？

A. FFmpeg自体は長年使われてきた信頼性の高い無料ソフトで、避けるべき危険なソフトではありません。安全に使う条件は「最新の修正を当て続けること」と「出所のわからない動画・字幕ファイルを処理しないこと」の2点です。

Q. ふだん使うMP4やMOVの動画でも攻撃されますか？

A. 今回の欠陥は字幕（VobSub）やHEVCのハード再生、MagicYUVといった特定の処理にあります。一般的なMP4やMOVを普通に再生・変換するだけで必ず成立するものではありません。ただし攻撃者は動画の入れ物や拡張子を偽装できるため、出所不明のファイルは扱わないのが安全です。

Q. すでに攻撃されていないか心配です。

A. いずれの脆弱性も、公開時点で実際に悪用された形跡は確認されていません。とはいえ公開後は攻撃が試みられる可能性が上がるため、早めの更新をおすすめします。

まとめ

「FFmpegは安全か」という問いへの答えは、「最新の修正を当て、信頼できるファイルだけを扱う限りは安全。古いまま放置すると危険」です。2026年はAIによる脆弱性発見が加速し、FFmpegでも報告が相次いでいますが、これは広く使われる基盤ソフトほど弱点が表に出やすくなったという変化であり、ソフトそのものを避ける理由にはなりません。

いま最優先で確認すべきは、7月23日公開の4件（CVE-2026-64830・64831・64832・64835）です。いずれも危険度8.8で、6月の修正版8.1.2でも残っている点に注意が必要です。あわせて、6月のCVE-2026-8461（8.1.2で修正）も未対応なら更新してください。FFmpegは多くのアプリやサービスの土台として動いている部品なので、「自分は使っていない」と思っていても間接的に影響することがあります。動画を扱う仕組みを持つ人ほど、依存している部品の更新を習慣にしておくことが、長く安全に使い続けるいちばんの近道です。

参照元

• ▸ NVD - CVE-2026-64830（VobSub字幕デマルチプレクサの境界外書き込み、CVSS 8.8）
• ▸ NVD - CVE-2026-64831（Vulkan HEVCデコーダのスタックオーバーフロー、CVSS 8.8）
• ▸ NVD - CVE-2026-64832（NVIDIA NVDECデコーダの二重解放、CVSS 8.8）
• ▸ NVD - CVE-2026-64835（ADX音声デコーダの境界外アクセス、CVSS 8.8）
• ▸ FFmpeg - 修正プルリクエスト #23657（VobSub）
• ▸ FFmpeg - 修正プルリクエスト #23659（ADX音声）
• ▸ NVD - CVE-2026-8461（MagicYUVデコーダの境界外書き込み、CVSS 8.8）
• ▸ FFmpeg - 修正プルリクエスト #23159（MagicYUV）
• ▸ FFmpeg公式 - セキュリティ情報
• ▸ FFmpeg公式 - ダウンロード
• ▸ The Hacker News - AI Agent Uncovers 21 Zero-Days in FFmpeg（2026年6月）
• ▸ Cyber Security News - 21 0-Day Vulnerabilities in FFmpeg（2026年6月）