FreeRDPは3.29.0でも危険、v3.30.0へ更新を CVE-2026-68579

Linuxのパソコンから離れた場所のパソコンを遠隔操作する「リモートデスクトップ」。その多くが土台に使っているソフト「FreeRDP」に、通信を盗み見たり接続を乗っ取ったりできる脆弱性（ソフトの弱点）が相次いで見つかっています。現時点で入れるべきなのは、2026年7月16日公開のFreeRDP 3.30.0です。7月14日公開の3.29.0では直らない弱点が残っています。

経緯を整理すると、7月14日の3.29.0が22件の勧告をまとめて修正し、その2日後の3.30.0がさらに3件を修正しました。あとから公開された3件のほうが深刻で、開発元は3.30.0を「重大なサーバー側の問題に対処した。更新を強く推奨する」と説明しています。この3件のうち1件に、8月2日付で CVE-2026-68579（10点満点で9.6）という番号が割り当てられました。

【追記・8月2日】3.29.0では足りません。3.30.0が必要です

本記事は当初、更新先を「3.29.0」と案内していました。これは不十分な案内でした。お詫びして訂正します。3.29.0が公開された2日後の7月16日に3.30.0が出ており、3.29.0にはまだ直っていない弱点が残っています。

8月2日、この件に関係する2つのCVE番号が新たに登録されました。番号を発行したのは、脆弱性情報を扱う米国の企業VulnCheckです。ただし穴そのものは新発見ではありません。開発元の勧告は7月20日に公開済みで、修正も済んでいます。今回は、公開済みの弱点にあとからCVE番号が付いた、という位置づけです。

CVE-2026-68579：貼り付け操作でつけ込まれる（3.30.0で修正）

遠隔操作中は、手元のパソコンと接続先とでコピー＆ペーストを共有できます。この機能で接続先にあるファイルを手元に貼り付けたときに問題が起きます。FreeRDPは、接続先から届いたデータを手元のメモリ領域へ写す際、「相手が申告した長さ」をそのまま信じて写していました。受け皿の大きさと突き合わせていなかったため、悪意ある接続先が過大な長さを申告するだけで、用意した領域からデータがあふれます（GHSA-m37j-jcr2-8gcc）。

宅配便で言えば、箱に入る量を確かめずに「中身は10キロです」という送り状の申告だけで棚に流し込むようなものです。あふれた先は隣の棚、つまり貼り付け操作をした側のアプリ（Windowsのエクスプローラーなど）が使っているメモリです。条件が揃えば、そこに攻撃者の狙ったデータを書き込めます。

ただし対象は限られます。この欠陥があるのは、FreeRDPのWindows向けクライアント（wfreerdp）だけが使う処理です。Windowsの部品（OLE）に依存したコードのため、RemminaやGNOME Connections、KRDCといったLinux側のアプリは、この1件については影響を受けません。また、利用者が実際に貼り付け操作をしなければ発動しません。

CVE-2026-68580：マイクを使っていると狙われる（3.29.0で修正済み）

もう1件の CVE-2026-68580（7.5）は、遠隔操作中に手元のマイク音声を接続先へ送る機能に関するものです。接続先から届く「1回あたり何コマ送るか」という数値を検査せずに受け取っており、極端に大きな値を渡すと計算結果が桁あふれを起こして、確保するメモリの大きさを誤ります（GHSA-69xf-pqrw-596x）。

こちらはLinux側が直撃を受けます。4種類ある音声処理方式のうち、Linuxで標準的に使われるALSAが最も深刻で、確保した領域を超えて書き込みが起きることが検査ツールで確認されています。残る3方式（BSD、Windows、Android）は主にアプリが落ちる被害にとどまります。報告者はÖmer Can VURAL氏です。発動には、手元でマイク転送を有効にしていることが条件になります。

この1件は3.29.0で修正済みです。すでに3.29.0へ上げた人は、この弱点については対処できています。

3.30.0で直った残り2件のほうが重い可能性

CVE番号が付いたのは上記2件ですが、3.30.0はほかにも2件の勧告に対処しています。7月26日に公開されたGHSA-rqgv-grx4-xm6xは、FreeRDPを遠隔操作の「受け側」として動かしている場合に、パスワードなしのまま認証を通過されてしまうという内容です。認証の成否を入れる変数が初期値のまま「成功」を意味する値になっており、かつ認証段階にそぐわない要求を検査せず受け付けていました。開発元が3.30.0を「重大なサーバー側の問題」と表現したのは、この件を指すとみられます。

もう1件のGHSA-vv64-95pc-vj9vは、企業の社内システムで使われる認証方式Kerberosの処理で、長さの検査が漏れていたというものです。こちらは接続する側・受ける側の両方向が対象になります。この2件にはまだCVE番号が付いていません。番号がないぶん見落とされやすいので、注意が必要です。

※GHSA-rqgv-grx4-xm6x の勧告ページ上の「修正版」欄は空欄のままですが、3.30.0のリリース説明では対処済みとして参照されています。この食い違いは8月2日時点で解消されていません。

見つけたのはAI。開発元のクレジットに明記

今回3.30.0で修正された3件は、いずれも謝辞にAnthropicの生成AI「Claude」とセキュリティ企業Ada Logicsの名前が並んでいます。Anthropicが運営する脆弱性の協調開示プログラムを通じて報告されたもので、報告者としてDavid Korczynski氏が記載されています。AIにソースコードを読ませて弱点を探させる取り組みが、実際に世界中で使われているソフトの修正につながった例です。

結局どのバージョンまで上げればいいのか

7月に入ってからFreeRDPは3.28.0・3.29.0・3.30.0と短期間に3回更新されています。どこまで上げれば何が直るのかを整理しました。

問題は、Linuxの種類によっては3.30.0がまだ配られていないことです。8月2日時点で、Fedora・Arch Linux・Homebrew・nixpkgs・Debianの開発版は3.30.0を配布済みですが、パッケージ横断の一覧で確認したところ、軽量Linuxとして人気のAlpine Linuxは安定版・開発版とも3.29.0で止まっています。Debianの安定版（trixie）に至っては3.15.0系です。

また、Debian・Ubuntu・Red Hatいずれのセキュリティ追跡ページにも、8月2日時点でCVE-2026-68579とCVE-2026-68580は未登録でした（該当ページはいずれも見つからない状態）。番号が付いた当日であることを考えれば不自然ではありませんが、「配布元の追跡ページに載っていない＝安全」ではない点に注意してください。手元のバージョンを直接確認するのが確実です。

確認は、端末で xfreerdp3 /version または apt list --installed | grep freerdp などを実行します。配布パッケージが3.30.0に達していない場合、すぐに取れる手は公式の3.30.0を自前で用意するか、更新が届くまで信頼できない接続先を避けることになります。なお、深刻な2件のうちクリップボードの件はWindows版クライアント限定、マイクの件はマイク転送が有効な場合限定なので、該当機能を切っておくことも当座の緩和になります。

FreeRDPとは何か。あなたのアプリが使っているかも

FreeRDPは、マイクロソフトが定めた遠隔操作の通信規格「RDP（リモートデスクトッププロトコル）」を、誰でも自由に使えるように作り直したオープンソースのソフトです。単体でも使えますが、それ以上に「他のアプリの部品（ライブラリ）」として広く組み込まれている点が重要です。

具体的には、Linuxで定番の遠隔操作アプリ「Remmina」、GNOMEデスクトップ標準の「GNOME Connections」、KDEの「KRDC」など、Linux向けのRDPクライアントのほとんどが、内部でFreeRDPを呼び出しています。つまり「FreeRDPという名前は知らないが、実は使っていた」という人が多いソフトです。

ここが今回の弱点の怖いところです。ひとつの部品に穴が空くと、それを組み込んでいる下流のアプリすべてに影響が波及します。ある部品の脆弱性が多くの製品に連鎖する仕組みについては、オープンソース部品の連鎖リスクをまとめた記事も参考にしてください。

なお、Windowsに最初から入っている「リモートデスクトップ接続」（mstsc.exe）はマイクロソフト自身が作った別のソフトで、FreeRDPとは無関係です。Windows標準のリモートデスクトップは、今回の件では影響を受けません。影響するのは、あくまでFreeRDPを使う側（多くはLinuxやMac、スマホのアプリ）です。

誰が、何のために狙うのか

今回の深刻な弱点で立場が危ういのは、公衆Wi-Fiや社内ネットワークなど、通信の通り道に割り込める場所にいる攻撃者や、乗っ取られた接続先サーバーの持ち主です。リモートデスクトップは「暗号化されているから安全」と思われがちですが、その暗号を信頼してよいかを見分ける仕組みそのものに欠陥がありました。

こうした相手は、正規のサーバーになりすまして接続に割り込み、暗号で守られているはずの画面やキー入力を横から盗み見たり、通信に細工を混ぜ込んだりできてしまいます。利用者のパソコンには「いつも通りつながった」ように見えるため、割り込まれていることに気づきにくいのが厄介です。

被害を受けるのは、まず遠隔操作をしている人本人です。接続先で入力したIDやパスワード、作業中の画面の中身が第三者に渡り、そのまま遠隔操作の主導権を奪われる恐れがあります。企業や組織にとっては、社員のリモート接続が入口になり、社内システムへ侵入される足がかりを与えかねません。在宅勤務や出張先から社内サーバーへつなぐ場面が多い職場ほど、影響は大きくなります。

修正された主な脆弱性の一覧

FreeRDP 3.29.0で公表された22件のうち、CVE番号が割り振られた主要なものを深刻度順に整理しました。「攻撃の向き」は、悪意あるサーバーが接続してきたクライアント（利用者側）を攻撃するものか、悪意あるクライアントがサーバーを攻撃するものかを示します。多くは利用者側が狙われるタイプです。

※深刻度はCVSS v3.1のスコア（10点満点）に基づく分類です。このほか、証明書の確認に関する弱点（CVE-2026-67293、CVE-2026-67294）、通信内容の一部が漏れる弱点（CVE-2026-67292）などが含まれます。全件の詳細は開発元の公式発表を参照してください。

特に危険な2件を詳しく

CVE-2026-66402：接続先の「本人確認」をすり抜けられる

最も深刻な1件です。リモートデスクトップの通信は、SSL/TLSという暗号技術で守られています。このとき「つないだ相手が本物のサーバーか」を、電子的な身分証にあたる「TLS証明書」で確認します。CVE-2026-66402は、この本人確認の照合処理に複数の欠陥があるという弱点です。

FreeRDPは、証明書に書かれたサーバー名を、OpenSSL標準の安全な照合関数を使わず独自の方法で突き合わせていました。その結果、名前の途中に特殊な文字を仕込むと照合を途中で打ち切ってしまう、名前が一部一致すれば残りの不一致を見逃してしまう、といった穴が生まれます。攻撃者は別の相手向けに発行された証明書を使い回して、正規サーバーになりすませてしまいます。深刻度は10点満点で9.8とされています。

CVE-2026-67289：通信に不正な命令を割り込ませる

もう1件の緊急案件CVE-2026-67289は、社内などでプロキシ（通信を中継するサーバー）を経由して接続する場面で問題になります。FreeRDPが中継サーバーへ送る接続要求に、攻撃者が改行にあたる制御文字を紛れ込ませられる欠陥です。

通信の文章はこの改行で区切られているため、そこに偽の区切りを混ぜ込むと、本来1つだった要求を分割して別の命令を差し込めます（HTTPレスポンス分割と呼ばれる手口です）。これにより中継サーバーをだまし、接続情報の横取りや通信の乗っ取りにつながる恐れがあります。こちらも深刻度9.8です。

悪意あるサイトを開くだけで狙われる弱点も

緊急の2件以外にも、深刻度「高（7.5）」の弱点が多数あります。特徴的なのは、その大半が「利用者が悪意あるサーバーにつなぐ」だけで発動する点です。動画の再生処理（CVE-2026-67290）、画面の文字描画（CVE-2026-67291）、図形の描画（CVE-2026-67301）、ICカード認証の処理（CVE-2026-67288）などに、メモリを本来の範囲外まで読んだり、解放済みのメモリを再び触ってしまったりする欠陥が見つかりました。

これらは細工したサーバーに接続させることで、アプリを強制終了させたり、条件次第では不正なプログラムを動かす足がかりにされたりする可能性があります。「知らないサーバーには不用意につながない」という基本が、いつも以上に大事になります。

一方で、CVE-2026-67296やCVE-2026-67298のように、FreeRDPをサーバーとして動かしている場合に、悪意あるクライアントから攻撃されてサービスが止められる弱点も含まれます。FreeRDPで遠隔操作を「受ける側」を運用している人も、更新の対象です。

自分は対象か。使っているアプリ別の対応

ここから下は、7月14日の3.29.0でまとめて修正された22件についての解説です。更新先は上で述べたとおり3.30.0ですが、この節の弱点はいずれも3.29.0の時点で修正されています。多くの人はFreeRDPを直接ではなく別のアプリ経由で使っているため、自分の状況に当てはめてください。

LinuxではOSのソフト更新（Ubuntuなら「ソフトウェアの更新」、コマンドならapt update && apt upgradeなど）を実行すれば、各ディストリビューションが用意したFreeRDPの修正版に入れ替わります。配布のタイミングはディストリビューションごとに異なるため、更新項目にFreeRDPやRemminaが出てきたら早めに適用してください。ソースからビルドしている場合はGitHubの3.30.0リリース、または公式の配布ページから入手できます。

研究者からの報告と、悪用の状況

今回の修正は、複数のセキュリティ研究者からの報告に基づいています。開発元の発表によると、電子科技大学（UESTC）のBin Luo氏が22件のうち18件を報告したほか、Team Atlanta、@canomer、@HEXER365、テンセントのYunding Security Labなどが名を連ねています。FreeRDPの開発を率いるArmin Novak氏（akallabeth）は、リリース文で「アップデートを強く推奨する」と明記しています。この点はHelp Net SecurityやLinuxiacも報じています。

2026年8月2日時点で、これらの弱点が実際の攻撃に使われたという公式な報告は確認できていません。米政府CISAが公開している「実際に攻撃に使われた脆弱性の一覧」（KEVカタログ）の最新版（7月29日版・1,656件）を確認しましたが、FreeRDP関連の項目は含まれていません。ただし、証明書の確認をすり抜ける弱点は、公衆Wi-Fiなど信頼できないネットワークからの遠隔操作で特に狙われやすい性質を持ちます。悪用が広まる前に更新を済ませておくのが安全です。

なお、今回のクリップボードの弱点について、一部の技術系メディアは「影響は3.28.0以前、修正版は3.29.0」「深刻度はCRITICAL」と報じています。しかし開発元の勧告本文は「影響は3.29.0以下、修正版は3.30.0、深刻度はHIGH」と記載しています。この記事では開発元の記載を採用しました。バージョン番号が1つずれると更新の可否が変わるため、判断に迷う場合は勧告本文を直接確認することをおすすめします。

まとめ

FreeRDPは7月の3週間で3.28.0・3.29.0・3.30.0と3回更新されました。3.29.0が22件の勧告をまとめて修正し、2日後の3.30.0がさらに3件を修正しています。入れるべきは3.30.0です。3.29.0で止めると、貼り付け操作でつけ込まれる弱点（CVE-2026-68579）と、受け側をパスワードなしで通過される弱点が残ります。

RemminaやGNOME ConnectionsなどでLinuxから遠隔操作をしている人は、まず自分の環境のソフト更新を確認してください。多くの場合、OSの通常のアップデートで修正版に入れ替わります。ただしAlpine LinuxやDebian安定版のように、8月2日時点でまだ3.30.0が届いていない環境もあります。FreeRDPを組み込んだ製品を開発している側は、同梱しているバージョンを3.30.0以降へ引き上げる対応が必要です。

今回の一件で見えるのは、CVE番号が付いた日と、危ない状態になった日は別物だということです。CVE-2026-68579が番号を得たのは8月2日ですが、開発元の勧告は7月20日に出ており、修正版は7月16日に配布されています。番号の登録を待って動くと、2週間出遅れます。逆に、番号が付いていない勧告（今回のKerberosと認証すり抜けの2件がまさにそれです）は、いつまでも通知に乗ってきません。同じ日にCVE番号がまとめて登録された他のソフトの事情については、8月2日に番号が付いた11件をまとめた記事で整理しています。

参照元

• ▸ FreeRDP - 3.30.0 release（公式発表）（2026年7月16日）
• ▸ GitHub - FreeRDP/FreeRDP Release 3.30.0
• ▸ GHSA-m37j-jcr2-8gcc - Windows clipboard heap overflow（CVE-2026-68579）（2026年7月20日）
• ▸ GHSA-69xf-pqrw-596x - audin integer overflow（CVE-2026-68580）（2026年7月20日）
• ▸ GHSA-rqgv-grx4-xm6x - RDSTLS server authentication bypass（2026年7月26日）
• ▸ GHSA-vv64-95pc-vj9v - Kerberos GSS Wrap-token unbounded EC field（2026年7月26日）
• ▸ NVD - CVE-2026-68579
• ▸ NVD - CVE-2026-68580
• ▸ FreeRDP - 3.29.0 release（公式発表）（2026年7月13日）
• ▸ GitHub - FreeRDP/FreeRDP Release 3.29.0
• ▸ Help Net Security - FreeRDP 3.29.0 security update resolves 22 advisories（2026年7月15日）
• ▸ Linuxiac - FreeRDP 3.29 Is Out With Extensive Security Fixes
• ▸ NVD - CVE-2026-66402
• ▸ NVD - CVE-2026-67289
• ▸ Remmina - the free Linux RDP client