Rcloneに追加6件、CVE-2026-49980はv1.74.4以降へ

クラウドにファイルを保存・同期するための定番ツール「Rclone（アールクローン）」に、本人確認（認証）なしで遠隔から悪用できる脆弱性（プログラムの欠陥）が見つかりました。CVE-2026-49980、深刻度は10点満点中ほぼ最高の9.8（緊急）です。

対象はバージョン1.46.0から1.74.2まで。GitHubが報告し、2026年6月24日に公開されました。この欠陥の修正は1.74.3に含まれています（ただし1.74.4で別の6件が追加で修正されているため、更新先は1.74.4以降を選んでください）。Rcloneを遠隔操作するための常駐機能（rcd）をネットワークに開いている場合、攻撃者が認証なしの通信を一度送るだけで、Rcloneが動いているマシン上で任意のコマンドを実行できてしまう恐れがあるため、すぐに更新が必要です。

Rcloneとはどんなツールか

Rcloneは、Amazon S3・Google Drive・Dropbox・OneDriveなど70種類以上のクラウドストレージとファイルをやり取りできるコマンド操作のツールです。クラウドへのバックアップや復元、サービス間のデータ移行、暗号化した保存などができ、「クラウドストレージの十徳ナイフ」とも呼ばれます。Linux・Windows・Macで広く使われ、主要なLinuxディストリビューション（OSの種類。Ubuntu等）の公式パッケージにも収録されています。

今回の欠陥は、Rcloneの「リモートコントロール用の常駐機能（rcd）」にあります。Rcloneはrclone rcdというコマンドで、ほかのプログラムやブラウザからネットワーク越しにRcloneを操作するためのAPI（窓口）を立ち上げられます。自動化やWeb管理画面のために便利な機能ですが、この窓口の作りに穴がありました。

誰が狙い、何をされ、どうなるのか

危ないのはRcloneのリモートコントロール機能（rcd）を、認証をかけずにネットワークから触れる状態で動かしているサーバーや個人です。バックアップの自動化や、クラウド同期をまとめて管理するために、この窓口を立ち上げたまま運用しているケースが当てはまります。社内ネットワークやクラウド上で、ほかのサービスから到達できる位置に置いているだけでも対象になり得ます。

攻撃者がすることは、この窓口へ細工した通信を一度送りつけ、本人確認を受けないまま、Rcloneが動いているマシン上で好きなコマンドを実行させることです。ログインも合言葉も不要で、通信が届く位置にいれば成立してしまう点が、深刻度を最高クラスに押し上げています。

実行はRcloneを動かしている利用者の権限で行われます。Rcloneはクラウドストレージの認証情報（鍵）を握っているため、乗っ取られればバックアップ先のデータの抜き取りや消去、保存内容の改ざん、さらに同じマシンを足がかりにした侵入の拡大まで起こり得ます。バックアップを守るための道具が、逆にデータ全体を危険にさらす入口になってしまうわけです。

実際に攻撃へ使われ始めた脆弱性は、米政府機関CISAの「実際に攻撃されている脆弱性リスト」に載ることがあります。日本語で追える一覧はCISA KEV ダッシュボード（日本語版）にまとめています。

脆弱性の中身

原因は、本来は守りをかけるべき重要な窓口に、本人確認が抜けていたことです。

CVE-2026-49980：認証なしの一撃で任意コマンド実行（CVSS 9.8）

公開情報によると、Rcloneのリモートコントロール用サーバー（rcd --rc-serve）は、特定のURLに対する認証なしのGET・HEADリクエストを受け付けていました。攻撃者はこの窓口に対し、接続先の設定を通信の中に直接書き込む「インライン設定」という指定を悪用することで、Rcloneプロセスの権限で任意のコマンドを実行できます。必要なのはネットワーク越しのリクエスト1回だけで、ログインも操作の誘導もいりません。

修正版の1.74.3では、この窓口の扱いが見直され、認証なしで重要な機能に到達できないように改められています。この修正は現在も有効で、これを回避する新たな欠陥は報告されていません。なお本件は外部から取り込むツールの管理という観点ともつながり、利用するパッケージやサービスの点検はOSS サプライチェーン スキャナーの考え方とあわせて見直す価値があります。

1.74.4で追加で塞がれた6件

2026年7月8日のv1.74.4は、49980とは別に見つかった6件をまとめて修正しています。深刻度9.8のような一撃で乗っ取られる種類ではありませんが、ファイルサーバー機能（serve）を公開している場合と、信頼できないリモートからデータを取り込む場合に効いてくる欠陥がそろっています。

加えて1.74.4は、土台となるGoを1.26.5へ更新し、CVE-2026-39822（os：シンボリックリンクと末尾スラッシュの組み合わせで、制限された領域から抜け出せる）とCVE-2026-42505（crypto/tls：Encrypted Client Helloでのプライバシー漏れ）を取り込んでいます。画像処理ライブラリgolang.org/x/imageもv0.43.0へ上がり、TIFF・WebPのデコードで異常終了やメモリ枯渇を起こす4件が解消されました。Rclone自体の使い方によっては触れない部分ですが、更新で自動的に付いてくる修正です。

rcd周辺で続く「修正のバイパス」の連鎖

CVE-2026-49980は、単独で降ってわいた欠陥ではありません。GitHubが付けたアドバイザリの見出しには「bypassing CVE-2026-41179 fix（CVE-2026-41179の修正を回避）」と明記されていて、リモートコントロール機能まわりでは一度塞いだはずの穴が、別の入口から開き直る展開が続いています。

最初の一手は2026年4月19日のv1.73.5でした。ここではCVE-2026-41176（options/setに認証必須の指定が抜けており、動作中の認証設定を書き換えられる）とCVE-2026-41179（operations/fsinfoが認証なしで呼べ、通信に書いた設定からWebDAVの接続先を作らせるとトークン取得用のコマンドが実行される）の2件が修正されています。対処の中身は、それぞれの窓口に「認証が必要」の印を付けることでした。

ところが根っこにあったのは、通信に書かれた設定からその場で接続先を組み立てる仕組み（インライン設定）そのものです。窓口を1つ閉じても、同じ仕組みへ届く別の道が残っていました。それがCVE-2026-49980で、今度は--rc-serveのURLパス経由で同じ場所に到達します。修正は6月5日のv1.74.3で、窓口を閉じるだけでなくglobal.*指定で全体設定を書き換えられる経路も一緒に断っています。

7月8日のv1.74.4は、この連鎖とは別系統です。リモートコントロール機能ではなく、ファイルを配る側（serve restic・serve s3）と受け取る側（ローカル保存）に目が向けられた形で、いずれも「パスや属性を、相手から渡された値のまま信用していた」という共通点があります。同じ発想の見直しがまだ続いていると考えて、当面はRcloneのリリースを追いかけておくのが安全です。

自分が対象かどうかの早見表

CVE-2026-49980の影響を受けるのは1.46.0〜1.74.2で、とくにリモートコントロール機能をネットワークに開いている場合に危険です。1.74.3で49980は塞がれますが、上に挙げた6件は1.74.4で初めて解消されます。バージョンはrclone versionで確認できます。

リモートコントロール機能を使わず、ふだんのrclone copyなどコマンドだけで使っている場合は、外部から窓口に通信が届かないため危険度は下がります。ただし1.74.4の6件はリモートコントロール機能とは無関係の場所にあり、書庫の展開やローカルへの保存でも踏み得ます。いずれにせよ1.74.4以降への更新をおすすめします。

いま取るべき対策

最優先は、Rcloneを1.74.4以降へ更新することです。各OSのパッケージや公式の配布ページから最新版を入手してください。ディストリビューション同梱のRcloneは1.74.3止まりのこともあるため、rclone versionの出力で実際の番号を確かめてください。

すぐに更新できない場合の緩和策として、リモートコントロール機能（rcd）を不特定の相手から触れない位置に隔離することが有効です。具体的には、接続を待ち受ける範囲を自分のマシン内（localhost）に限定する、--rc-user／--rc-passで必ず認証をかける、ファイアウォールで外部からの接続を遮断する、といった対応です。あわせて、身に覚えのないプロセスや通信、不審なファイル操作がないかを点検してください。万一すでに乗っ取られていた場合に備え、Rcloneに設定したクラウドの認証情報は、更新後に入れ替えておくのが安全です。

1.74.4の6件については、更新以外に押さえておきたい点が2つあります。1つはrclone serve系（restic・s3など）を外部に公開しているかどうかで、公開しているなら到達範囲と認証設定をあわせて見直してください。もう1つは、信頼できない相手のストレージから--linksや--metadataを付けて同期していないかです。該当するなら、更新までこれらの指定を外して運用するだけでも影響を抑えられます。

まとめ

RcloneのCVE-2026-49980は、リモートコントロール用の窓口に本人確認が抜けていたために、認証なしの通信1回で任意のコマンドを実行されてしまう脆弱性です。深刻度はCVSS 9.8とほぼ最高クラスで、対象は1.46.0〜1.74.2、1.74.3で修正済みです。この修正自体は現在も有効で、回避する新たな欠陥は出ていません。

一方で1.74.3のあとに別の6件が見つかり、2026年7月8日のv1.74.4でまとめて塞がれました。serve resticの利用者分離の破れ（CVE-2026-59733）とシンボリックリンクによる保存先外への書き込み（CVE-2026-54572）がHighで、書庫展開やserve s3のパストラバーサルなどが続きます。1.74.3のままでは、これらが残ったままです。

Rcloneはクラウドの鍵を預かるバックアップの要所だけに、乗っ取られたときの被害は大きくなります。リモートコントロール機能を開いているなら最優先で、そうでなくても早めに1.74.4以降へ更新してください。Rcloneに関する新たな脆弱性が出た場合は、本記事に追記して追っていきます。

参照元

• ▸NVD - CVE-2026-49980（Rclone rcd の認証欠如による任意コマンド実行）
• ▸GitHub Security Advisory - GHSA-qw24-gh76-8rvv
• ▸Rclone Changelog - v1.74.4（2026-07-08、6件の修正とGo 1.26.5）
• ▸GitHub - rclone/rclone リリース v1.74.4
• ▸GitHub Security Advisories - rclone/rclone（公開アドバイザリ一覧）
• ▸GHSA-jfwf-28xr-xw6q - CVE-2026-41179（49980が回避した元の修正）
• ▸GitHub - rclone/rclone（本体・リリース）
• ▸Rclone 公式サイト（用途・対応ストレージ）
• ▸Rclone 公式ドキュメント - リモートコントロール（rc）
• ▸Rclone ダウンロード（最新版の入手）