IINA（Mac）の安全性。脆弱性は1件だけで、1.4.4以降なら解消

Mac向けの動画プレイヤー「IINA」について、2026年8月20日時点で公表されている脆弱性（情報セキュリティ上の欠陥）は1件だけです。管理番号CVE-2026-47114、細工されたリンクをクリックして「IINAで開く」を許可すると、そのMacで攻撃者のコマンドが実行されるというもので、バージョン1.4.4以降なら解消しています。最新版は1.4.4（2026年6月24日公開）で、それが今の安定版です。

注意が要るのは、当初「修正版」として出た1.4.3が対象に含まれたままであることです。1.4.3の塞ぎ方には抜け道が残っていたことが後から分かり、開発元は1.4.4で塞ぎ直しました。「1.4.3に上げたから大丈夫」と思っている人ほど、手元の数字を見直す必要があります。

IINAはGPLv3（改変や再配布を認めるかわりに、同じ条件での公開を求める利用許諾）のもとでGitHubで開発されているオープンソースのアプリで、2026年8月20日時点でスターは4万6千件、ソースコードの更新は同日にも入っています。Homebrew経由の設置だけでも直近1年で約6万9千件あり、開発が止まったまま置かれているアプリではありません。

IINAはMacで安全に使えるのか

脆弱性の公開データベースを2つ当たった結果は同じでした。米国立標準技術研究所のNVDで「IINA」を検索して出る3件のうち、Mac用のIINAに関するものはCVE-2026-47114の1件だけ（残る2件は7-Zip系ソフトの内部名が一致しただけの別製品）。GitHubが運営するAdvisory Databaseでも、IINAとして登録されているのは同じ1件です。開発元のリポジトリに登録されているセキュリティ情報もGHSA-w5xh-98j7-jp5qの1本のみで、対象は「1.4.4より前のすべて」、直った版は「1.4.4」と書かれています。

実際に攻撃へ使われたという報告も、今のところありません。米国の政府機関CISAが「現に悪用が確認された脆弱性」として公開している一覧の2026年8月19日版（収録1671件）に、CVE-2026-47114は入っていません。

アプリそのものの配られ方については、IINAは更新用のファイルに電子署名を付けて配布しています。アプリの中に照合用の公開鍵が埋め込まれていて（設定ファイルのSUPublicEDKey）、更新情報の一覧であるappcast.xmlにもダウンロード先ごとの署名が並んでいます。アプリ内から更新するかぎり、署名が合わないファイルは受け取らない作りになっています。

自分のIINAが何番か確かめる

確かめるのはひとつだけで、表示された数字が1.4.4以上かどうかです。IINAを起動し、画面上部のメニューバーから「IINA」→「IINA について」を開くと版数が出ます（表示を英語にしている場合は「About IINA」）。

アプリを起動せずに調べたい場合は、ターミナル（Macに標準で入っている、文字を打ち込んで操作する画面）からも読めます。

この2つは食い違うことがあります。IINAは自分自身で更新する仕組みを持っているため（Homebrewの登録情報でauto_updatesが有効）、アプリ内で更新した分はHomebrew側の記録に反映されません。実際に入っている版として信用すべきなのは「IINA について」とInfo.plistのほうで、Homebrewの記録は「Homebrewが最後に入れた版」を指しています。

1.4.4へ更新する。Homebrewで入れている場合も

入れ直す先は次の3つのいずれかにしてください。この3つ以外の配布サイトから落とす理由はありません。

Homebrewで入れている人は、アプリ名を指定して実行するのが確実です。名前を付けない brew upgrade は、自分で更新する仕組みを持つアプリを対象から外すことがあり、IINAはその扱いに当てはまります。「一括更新をかけているから最新のはず」と思っていても1.4.3のまま残っている、という状態が起こりえます。Homebrewが配っているIINAは1.4.4で、上流のリリースと一致しています。

アプリ内の更新について、開発元は1.4.4のリリースノートで「アプリ内の自動更新はGitHubでの公開から24時間後に利用できるようになる」と書いています。新しい版が出た直後に「アップデートを確認…」が何も出さないことがあるのはこのためで、その場合は公式サイトかHomebrewから直接入れ直せます。

すぐに更新できない事情があるときの当面の対応は、開発元のセキュリティ情報にも書かれているとおり、心当たりのないリンクで「IINAで開きますか？」と聞かれたら「キャンセル」を選ぶことです。アプリ側の設定で回避する手段は用意されていません。

古いMacでも1.4.4に上げられるか

公式サイトが掲げている動作条件は、Appleシリコン搭載のMacはmacOS 12.0以上、Intel搭載のMacはmacOS 10.15（Catalina）以上です。1.4.4の更新情報にも最低条件として10.15と書かれているため、2019年のCatalinaが動くIntel Macであれば1.4.4まで上げられます。古いMacだから諦める、という話にはなりません。

ひとつずれがあるのはHomebrewです。Homebrewに登録されているIINAは動作条件を「macOS 12以上」と宣言しているため、それより古いmacOSではHomebrew経由で入らないことがあります。その場合は公式サイトのダウンロードを使ってください。

リンクを1つ開くと何が起きるのか

攻撃者はWebページ・メール・SNSの投稿などに iina://open?... という形のリンクを仕込みます。これは「IINAでこの動画を開いて」とMacに伝えるための、IINA専用の書き方をしたリンクです。

走る命令の権限は、そのときMacにログインしているユーザーと同じです。管理者パスワードの入力は求められません。発見者が公開している技術解説では、実証として /usr/bin/touch で /tmp/pwned という目印のファイルを作り、/bin/rm でそれを消すところまでが示されています。

成立に再生できる動画ファイルは必要ありません。URLが動画として正しく開けるかどうかと関係なく、命令の部分は先に処理されます。「リンクを開いたけど動画が再生されなかっただけ」と見えている裏で、すでに何かが走っていた、という形になります。深刻度の目安として使われるCVSS（欠陥の危なさを0から10で表す共通の物差し）は8.8で、開発元のセキュリティ情報にもNVDにも同じ値が載っています。

1.4.3では何が残っていたのか

種類としては「引数注入」と呼ばれる問題です。アプリを起動するときに渡す指示文の中に、外部から余計な指示を紛れ込ませる手口を指します（欠陥の分類番号はCWE-88）。IINAは内部でmpvという再生エンジンを使っていて、リンクから受け取った値をそのままmpvの起動指示に渡していました。

2026年5月20日公開の1.4.3は、危険な input-commands という項目を名指しで拒否する修正でした。これで直接コマンドが走る道は塞がれましたが、mpvには外部から悪用できる項目が他にもありました。開発元の説明によれば、log-file という「記録の書き出し先を指定する項目」を使うと、mpvの記録を ~/.bashrc のようなターミナルを開くたびに読み込まれる設定ファイルへ書き込めるのです。mpvは開こうとしたリンクの中身をそのまま記録に残すため、攻撃者はそこに命令を仕込んでおき、利用者が次にターミナルを開いた瞬間に実行させることができました。

この2段構えの抜け道は、利用者が使っているシェル（ターミナルで文字入力を受け付ける土台のソフト）に左右されます。開発元はbashとfishが影響を受け、zshは既定の設定が違うため成立しにくいと書いています。macOSの標準はCatalina以降zshなので、多くの人にとってはその場で被害が出る話ではありません。ただし成立しにくいだけで、1.4.3が対象から外れるわけではありません。

2026年6月24日公開の1.4.4では、方針そのものを切り替えました。危ないものを名指しで弾くやり方をやめ、あらかじめ安全と確認した項目だけを通し、それ以外は全部はねる形にしています。ファイルの読み書きにつながる項目や、再生用のリンクに書かれる理由がない項目は、既定で拒否されます。

確認するときに引っかかりやすいのが、参照先によって書いてある対象が違う点です。NVDの説明文は今も「1.4.3より前」のままで、2026年7月23日の更新を最後に追加の分析が保留されています。一方、開発元が2026年6月25日に出したセキュリティ情報は対象を「1.4.4より前」としています。新しい管理番号は振られず同じCVE-2026-47114のまま扱われたため、NVDの記載だけを見ると1.4.3で完了したように読めてしまいます。従うべきは開発元の側です。

1.5.0はいつ出るのか

開発元は1.4.4のリリースノートの末尾で「画面デザインを全面的に作り直した1.5.0を準備中」と告知しています。ただし2026年8月20日時点で1.5.0は公開されていません。GitHubに1.5.0のタグはなく、アプリ内更新が参照する更新情報も、先行版を受け取る側の更新情報も、いちばん新しいのは1.4.4です。公開予定日は示されていません。

1.5.0を待つ理由はありません。今の脆弱性が解消されているのは1.4.4であり、1.5.0が出たあともやることは同じで、「IINA について」の数字が1.4.4以上かどうかを見るだけです。

更新履歴

• ▸ 2026年8月20日: 最新版が1.4.4のままであること、1.5.0が未公開であることをGitHubのリリース情報と更新情報の一覧で確認し、追記。公表されている脆弱性が1件だけであることをNVDとGitHub Advisory Databaseで取り直し、悪用の有無をCISAの一覧2026年8月19日版で再確認。GitHubのスター数を4万4千件から4万6千件へ更新。版数の確かめ方、正規の入手先、Homebrewでの更新の注意、macOSの動作条件を追加。攻撃者像を並べた節と、URLスキーム全般を論じた節を削除。あわせて、実証に使われたコマンドの記述を発見者の解説どおりに訂正（/bin/ls ではなく /usr/bin/touch と /bin/rm）。メニュー項目の名前を、日本語表示のMacで実際に出る「IINA について」「アップデートを確認…」へ改めた
• ▸ 2026年5月22日: 公開

参照元

• ▸ GitHub Security Advisory - GHSA-w5xh-98j7-jp5q（IINA開発元の公式情報。対象は1.4.4より前、修正版は1.4.4）
• ▸ NVD - CVE-2026-47114（説明文は「1.4.3より前」のまま。2026年7月23日更新）
• ▸ GitHub Advisory Database - iina の検索結果
• ▸ CISA - 悪用が確認された脆弱性の一覧（2026年8月19日版、1671件）
• ▸ GitHub - IINA v1.4.4 リリースノート（2026年6月24日公開。1.5.0の予告あり）
• ▸ GitHub - IINA v1.4.3 リリースノート（当初の修正版）
• ▸ GitHub - 1.4.3時点の修正コミット 1e6f432
• ▸ IINA - アプリ内更新が参照する更新情報（appcast.xml）
• ▸ Homebrew - iina（配布中の版と設置件数）
• ▸ VulnCheck - IINA Command Execution via iina://open URL Scheme
• ▸ stackpointer - IINA 1.4.2 URL Scheme Command Execution（発見者の技術解説）
• ▸ IINA公式サイト（配布中の版と動作条件）