FreeRDPに通信を盗み見される脆弱性22件、v3.29.0で修正 CVE-2026-66402

Linuxのパソコンから離れた場所のパソコンを遠隔操作する「リモートデスクトップ」。その多くが土台に使っているソフト「FreeRDP」に、通信を盗み見たり接続を乗っ取ったりできる脆弱性（ソフトの弱点）が22件見つかりました。開発元は2026年7月13日、これらをまとめて修正した最新版「FreeRDP 3.29.0」を公開し、利用者へ更新を強く呼びかけています。

22件のうち2件は、最も深刻な部類とされる「CRITICAL（緊急）」です。いずれも、接続した先のサーバーが悪意を持っていたり、通信の経路上で誰かに割り込まれていたりした場合に、本来は暗号で守られているはずのやり取りを破られてしまうタイプの弱点でした。米国立標準技術研究所（NIST）の脆弱性データベース（NVD）にも、CVE-2026-66402 をはじめとする番号が順次登録されています。

FreeRDPとは何か。あなたのアプリが使っているかも

FreeRDPは、マイクロソフトが定めた遠隔操作の通信規格「RDP（リモートデスクトッププロトコル）」を、誰でも自由に使えるように作り直したオープンソースのソフトです。単体でも使えますが、それ以上に「他のアプリの部品（ライブラリ）」として広く組み込まれている点が重要です。

具体的には、Linuxで定番の遠隔操作アプリ「Remmina」、GNOMEデスクトップ標準の「GNOME Connections」、KDEの「KRDC」など、Linux向けのRDPクライアントのほとんどが、内部でFreeRDPを呼び出しています。つまり「FreeRDPという名前は知らないが、実は使っていた」という人が多いソフトです。

ここが今回の弱点の怖いところです。ひとつの部品に穴が空くと、それを組み込んでいる下流のアプリすべてに影響が波及します。ある部品の脆弱性が多くの製品に連鎖する仕組みについては、オープンソース部品の連鎖リスクをまとめた記事も参考にしてください。

なお、Windowsに最初から入っている「リモートデスクトップ接続」（mstsc.exe）はマイクロソフト自身が作った別のソフトで、FreeRDPとは無関係です。Windows標準のリモートデスクトップは、今回の件では影響を受けません。影響するのは、あくまでFreeRDPを使う側（多くはLinuxやMac、スマホのアプリ）です。

誰が、何のために狙うのか

今回の深刻な弱点で立場が危ういのは、公衆Wi-Fiや社内ネットワークなど、通信の通り道に割り込める場所にいる攻撃者や、乗っ取られた接続先サーバーの持ち主です。リモートデスクトップは「暗号化されているから安全」と思われがちですが、その暗号を信頼してよいかを見分ける仕組みそのものに欠陥がありました。

こうした相手は、正規のサーバーになりすまして接続に割り込み、暗号で守られているはずの画面やキー入力を横から盗み見たり、通信に細工を混ぜ込んだりできてしまいます。利用者のパソコンには「いつも通りつながった」ように見えるため、割り込まれていることに気づきにくいのが厄介です。

被害を受けるのは、まず遠隔操作をしている人本人です。接続先で入力したIDやパスワード、作業中の画面の中身が第三者に渡り、そのまま遠隔操作の主導権を奪われる恐れがあります。企業や組織にとっては、社員のリモート接続が入口になり、社内システムへ侵入される足がかりを与えかねません。在宅勤務や出張先から社内サーバーへつなぐ場面が多い職場ほど、影響は大きくなります。

修正された主な脆弱性の一覧

FreeRDP 3.29.0で公表された22件のうち、CVE番号が割り振られた主要なものを深刻度順に整理しました。「攻撃の向き」は、悪意あるサーバーが接続してきたクライアント（利用者側）を攻撃するものか、悪意あるクライアントがサーバーを攻撃するものかを示します。多くは利用者側が狙われるタイプです。

※深刻度はCVSS v3.1のスコア（10点満点）に基づく分類です。このほか、証明書の確認に関する弱点（CVE-2026-67293、CVE-2026-67294）、通信内容の一部が漏れる弱点（CVE-2026-67292）などが含まれます。全件の詳細は開発元の公式発表を参照してください。

特に危険な2件を詳しく

CVE-2026-66402：接続先の「本人確認」をすり抜けられる

最も深刻な1件です。リモートデスクトップの通信は、SSL/TLSという暗号技術で守られています。このとき「つないだ相手が本物のサーバーか」を、電子的な身分証にあたる「TLS証明書」で確認します。CVE-2026-66402は、この本人確認の照合処理に複数の欠陥があるという弱点です。

FreeRDPは、証明書に書かれたサーバー名を、OpenSSL標準の安全な照合関数を使わず独自の方法で突き合わせていました。その結果、名前の途中に特殊な文字を仕込むと照合を途中で打ち切ってしまう、名前が一部一致すれば残りの不一致を見逃してしまう、といった穴が生まれます。攻撃者は別の相手向けに発行された証明書を使い回して、正規サーバーになりすませてしまいます。深刻度は10点満点で9.8とされています。

CVE-2026-67289：通信に不正な命令を割り込ませる

もう1件の緊急案件CVE-2026-67289は、社内などでプロキシ（通信を中継するサーバー）を経由して接続する場面で問題になります。FreeRDPが中継サーバーへ送る接続要求に、攻撃者が改行にあたる制御文字を紛れ込ませられる欠陥です。

通信の文章はこの改行で区切られているため、そこに偽の区切りを混ぜ込むと、本来1つだった要求を分割して別の命令を差し込めます（HTTPレスポンス分割と呼ばれる手口です）。これにより中継サーバーをだまし、接続情報の横取りや通信の乗っ取りにつながる恐れがあります。こちらも深刻度9.8です。

悪意あるサイトを開くだけで狙われる弱点も

緊急の2件以外にも、深刻度「高（7.5）」の弱点が多数あります。特徴的なのは、その大半が「利用者が悪意あるサーバーにつなぐ」だけで発動する点です。動画の再生処理（CVE-2026-67290）、画面の文字描画（CVE-2026-67291）、図形の描画（CVE-2026-67301）、ICカード認証の処理（CVE-2026-67288）などに、メモリを本来の範囲外まで読んだり、解放済みのメモリを再び触ってしまったりする欠陥が見つかりました。

これらは細工したサーバーに接続させることで、アプリを強制終了させたり、条件次第では不正なプログラムを動かす足がかりにされたりする可能性があります。「知らないサーバーには不用意につながない」という基本が、いつも以上に大事になります。

一方で、CVE-2026-67296やCVE-2026-67298のように、FreeRDPをサーバーとして動かしている場合に、悪意あるクライアントから攻撃されてサービスが止められる弱点も含まれます。FreeRDPで遠隔操作を「受ける側」を運用している人も、更新の対象です。

自分は対象か。使っているアプリ別の対応

影響を受けるのはFreeRDP 3.28.0以前のバージョンで、修正版は3.29.0です。ただし多くの人はFreeRDPを直接ではなく、別のアプリ経由で使っています。自分の状況に当てはめてください。

LinuxではOSのソフト更新（Ubuntuなら「ソフトウェアの更新」、コマンドならapt update && apt upgradeなど）を実行すれば、各ディストリビューションが用意したFreeRDPの修正版に入れ替わります。配布のタイミングはディストリビューションごとに異なるため、更新項目にFreeRDPやRemminaが出てきたら早めに適用してください。ソースからビルドしている場合はGitHubの3.29.0リリース、または公式の配布ページから入手できます。

研究者からの報告と、悪用の状況

今回の修正は、複数のセキュリティ研究者からの報告に基づいています。開発元の発表によると、電子科技大学（UESTC）のBin Luo氏が22件のうち18件を報告したほか、Team Atlanta、@canomer、@HEXER365、テンセントのYunding Security Labなどが名を連ねています。FreeRDPの開発を率いるArmin Novak氏（akallabeth）は、リリース文で「アップデートを強く推奨する」と明記しています。この点はHelp Net SecurityやLinuxiacも報じています。

本稿執筆時点（2026年8月1日）で、これらの弱点が実際の攻撃に使われたという公式な報告は確認できていません。ただし、証明書の確認をすり抜ける弱点は、公衆Wi-Fiなど信頼できないネットワークからの遠隔操作で特に狙われやすい性質を持ちます。悪用が広まる前に更新を済ませておくのが安全です。

まとめ

FreeRDP 3.29.0は、22件のセキュリティ勧告をまとめて修正した重要な更新です。中でも証明書の確認をすり抜ける弱点（CVE-2026-66402）と、通信に不正な命令を割り込ませる弱点（CVE-2026-67289）は緊急度が高く、リモートデスクトップの「暗号化されているから安全」という前提を崩しかねないものでした。

RemminaやGNOME ConnectionsなどでLinuxから遠隔操作をしている人は、まず自分の環境のソフト更新を確認してください。多くの場合、OSの通常のアップデートで修正版に入れ替わります。FreeRDPを組み込んだ製品を開発している側は、同梱しているバージョンを3.29.0以降へ引き上げる対応が必要です。

参照元

• ▸ FreeRDP - 3.29.0 release（公式発表）（2026年7月13日）
• ▸ GitHub - FreeRDP/FreeRDP Release 3.29.0
• ▸ Help Net Security - FreeRDP 3.29.0 security update resolves 22 advisories（2026年7月15日）
• ▸ Linuxiac - FreeRDP 3.29 Is Out With Extensive Security Fixes
• ▸ NVD - CVE-2026-66402
• ▸ NVD - CVE-2026-67289
• ▸ Remmina - the free Linux RDP client