ノートアプリ『SiYuan』に乗っ取りの穴 CVE-2026-56395ほか、3.6.1へ更新を

トップ/記事一覧/ノートアプリ『SiYuan』に乗っ取りの穴 CVE-2026-56395ほか、3.6.1へ更新を

ニュース本日更新

堀川慎

Backend Engineer / AWS / Django / Go

2026.06.229 min7 views

Share X Hatena LINE LinkedIn RSS

この記事のポイント

人気のオープンソースのノートアプリ『SiYuan』に、アプリ内のマーケットプレイス（Bazaar）を開くだけで自分のパソコンを乗っ取られる重大な欠陥が見つかりました。深刻度はCVSS 9.6が2件。テーマやプラグインの説明文に仕込まれた不正なプログラムが、ノートやパスワード、SSHキーの流出につながります。修正版3.6.1が出ており、早急な更新が必要です。

メモや知識を整理するために使う人気のオープンソースのノートアプリ「SiYuan（思源ノート）」に、アプリ内の「マーケットプレイス」を開くだけで自分のパソコンを乗っ取られる重大な欠陥が見つかりました。CVE-2026-56395とCVE-2026-56397の2件で、深刻度はいずれもCVSS 9.6（最高10.0）です。日本時間6月22日にアメリカの脆弱性データベースNVDが登録しました。修正版3.6.1がすでに公開されており、それより前のバージョンを使っている場合は早急な更新が必要です。

問題があるのは、SiYuanに付いている「Bazaar（バザール）」という機能です。これは、テーマ（見た目）やプラグイン（機能追加）などを誰でも公開・配布できる、アプリ内のマーケットプレイス（販売所のようなもの）です。攻撃者は、このマーケットに登録するパッケージの説明文や紹介ページ（README）に、見た目には分からない不正なプログラム（スクリプト）を仕込めます。利用者がマーケットを開いてその一覧を見たり、紹介ページを開いたりすると、仕込まれたプログラムが利用者のパソコン上で勝手に動き出します。

通常、Webページに紛れ込んだ不正なプログラム（これを「クロスサイトスクリプティング」、略してXSSと呼びます）は、ブラウザの中の限られた範囲でしか動けません。ところがSiYuanはデスクトップアプリの土台に「Electron（エレクトロン）」という仕組みを使っており、その設定の都合で、画面に紛れ込んだプログラムがパソコンのOSそのものに命令を出せる状態になっていました。つまり、ただの表示崩れでは済まず、ファイルの盗み出しやアプリの勝手なインストールといった「乗っ取り」にまで直結します。

SiYuanとは何をするアプリか

SiYuanは、文章・メモ・調べ物・アイデアなどを1か所にためて、相互にリンクさせながら整理できる「個人向けの知識管理アプリ」です。いわゆるノートアプリの一種で、ObsidianやNotionに近い使い方をします。データを自分の手元に置く「ローカル優先」を掲げているのが特徴で、プライバシーを重視する利用者に支持されています。オープンソースで開発され、GitHubのスター数は4万4千を超えます。パソコン版（WindowsやmacOS、Linux）に加えてスマホ版もあり、日本語にも対応しています。

SiYuanのパソコン版は、Webページを表示する技術を使ってデスクトップアプリの画面を作る「Electron」という土台の上に作られています。Electronは、Webの作り方でそのままパソコン用アプリを作れるため、近年多くのアプリで使われています。半面、設定を誤ると「Webページの中身がパソコンを操作できてしまう」という危険が生まれます。今回の欠陥は、まさにこの危険が現実になった例です。

そして今回の入口になったBazaarは、利用者が見た目を着せ替えるテーマや、機能を足すプラグイン、定型ページのテンプレートなどを、アプリの中から探して導入できる仕組みです。便利な反面、世界中の誰でも自分の作ったパッケージを公開できるため、悪意を持った人物が「便利そうなプラグイン」を装って罠を仕込むこともできます。ノートアプリのマーケットを眺める、というごく日常的な操作が攻撃の引き金になる点が、この問題の怖いところです。

「便利そうなプラグイン」を装った罠が、ノートの持ち主から奪っていくもの

CVSS 9.6という数字だけでは、自分の身に何が起きるのかは伝わってきません。そこで先に、誰が、何のためにSiYuanのマーケットに罠を置くのか、そして引っかかった人の手元から何が消えるのかを具体的に描いておきます。ノートアプリは、思いついたこと・調べたこと・仕事の段取り・人には見せない下書きまでが集まる、その人の頭の中に最も近い場所です。そこを動かしているパソコンごと他人に握られる、というのがこの欠陥の正体です。

罠を仕掛けるのは、遠い国の凄腕ハッカーとは限りません。むしろ現実的なのは、無料の便利ツールを装ってマルウェアをばらまく愉快犯まがいの常習者、暗号資産の窃取やランサムウェア（身代金要求型ウイルス）で稼ぐ金銭目的の集団、そして特定の人物の私的なメモを覗き見たい身近な誰かです。彼らがやることは、「人気が出そうなテーマやプラグイン」を作ってBazaarに公開し、その説明文や紹介ページに不正なプログラムをひそませておくだけ。狙うのは抽象的な「データ」ではなく、ノートに書き留めたパスワードやログイン情報、仕事の機密や下書き、パソコンに保存されたサーバー接続用の鍵（SSHキー）、暗号資産の財布、そしてブラウザに残った各種の認証情報という、生々しい現物です。利用者がそのパッケージをマーケットで開いた瞬間、仕込まれたプログラムがパソコン上で動き、これらが静かに外へ運び出されていきます。

サイバー攻撃の言葉で言えば、これは「サプライチェーン攻撃」（利用者が信頼して導入する配布物に毒を混ぜる手口）の一種です。アプリの公式マーケットに並んでいるという信頼そのものが攻撃に利用されるため、利用者の側に落ち度がなくても被害に遭います。しかも今回は、不正なプログラムが画面の中だけでなくパソコンのOSへ命令を出せるため、攻撃者は一度の侵入でファイルの抜き取りから、居座り続けるための裏口（バックドア）の設置まで一気に実行でき、WindowsでもMacでもLinuxでも被害が成立します。一度居座られると、アプリを消しただけでは元に戻りません。

CVSS 9.6はあくまで技術的な深刻度の目盛りにすぎません。SiYuanに日々の考えごとを預けている人にとって本当に痛いのは、アプリが一時的に不調になることではなく、何年分もため込んだノートと、そこに紛れていたパスワードや鍵が丸ごと他人の手に渡り、パソコンそのものが見張られ続けることです。安心して書き溜めるための私的な道具が、そのまま自分の生活と仕事を覗く穴になりかねません。

CVE-2026-56395／56397：マーケットの表示文が無害化されていなかった

NVDは今回、Bazaarをめぐって2件のCVEを登録しました。原因はどちらも共通で、パッケージの情報を画面に表示するときに、不正なプログラムを取り除く「無害化（サニタイズ）」の処理が抜けていたことです。SiYuanの裏側では、パッケージの紹介ページを作る処理が無害化を有効にしないまま動いており（具体的にはlute.New()をSetSanitize(true)なしで呼んでいた）、さらに受け取った内容をそのまま画面に流し込んでいました（innerHTMLへの代入）。報告と検証は、開発元のGitHubセキュリティ勧告（GHSA-v3mg-9v85-fcm7）で公開されています。発火する場所の違いで、2件は次のように分かれます。

CVE-2026-56395: 表示名・説明文からの保存型XSS（CVSS 9.6・実質ゼロクリック）

1件目は、パッケージの「表示名（displayName）」や「説明文（description）」に仕込まれた不正なプログラムが、無害化されないまま画面の組み立てに使われていた問題です。これらはマーケットの一覧に並ぶ基本情報なので、利用者がBazaarを開いてパッケージの一覧を眺めるだけで発火し得ます。紹介ページを開く操作すら要らない、実質ゼロクリックの経路です。攻撃者が用意するパッケージ定義の例としては、表示名の中に<img src=x onerror="...">のような仕掛けを紛れ込ませる形が公開されています。

CVE-2026-56397: 紹介ページ（README）からの保存型XSS（CVSS 9.6・ワンクリック）

2件目は、パッケージの紹介ページ（README）の中身が、無害化されないまま画面に表示されていた問題です。READMEは本来、マークダウンで書かれた説明文ですが、そこに生のHTMLやスクリプトを混ぜても取り除かれず、そのまま実行されてしまいます。こちらは利用者が気になったパッケージを開いて紹介ページを表示した時点で発火する、ワンクリックの経路です。いずれも「保存型」と呼ばれる、攻撃コードがサーバー側のパッケージ情報に保存され、開いた人みんなに影響するタイプで、被害が広く及びます。

なぜ「ノートアプリ」で乗っ取りまで起きるのか

画面に紛れ込んだ不正なプログラムが、なぜパソコンの乗っ取りにまで跳ね上がるのか。鍵は、SiYuanのデスクトップ版が土台にしているElectronの設定にあります。Electronでは、アプリの画面（Webページ）の中からパソコンの機能をどこまで触れるかを設定で決めます。SiYuanはこの設定で、画面の中からパソコンの基本機能を直接呼び出せるnodeIntegrationを有効（true）にし、画面とパソコン側を隔てるcontextIsolationを無効（false）にしていました。

この組み合わせだと、画面に紛れ込んだプログラムが、ブラウザの枠を越えてパソコンのコマンド実行機能（child_processなど）にそのまま手を伸ばせます。公開された検証コードでは、require('child_process').exec(...)という1行で、利用者のパソコン上に任意のコマンドを実行させています。Windowsなら電卓アプリを勝手に起動する、という分かりやすい例で実証されていますが、同じ仕組みでファイルの送信や別ウイルスのダウンロードも可能です。つまり、表示上の小さな穴（XSS）が、Electronの設定を経由して、パソコンの完全な乗っ取り（RCE）へと一段で跳ね上がるのが、この問題の核心です。

この「Electronの設定が緩いせいでXSSがそのまま乗っ取りになる」型の事故は、SiYuanに限った話ではなく、Web技術でデスクトップアプリを作る多くのソフトに共通する弱点です。本サイトでも、編集画面の小さな穴が管理者権限の奪取に直結したTinyMCEの保存型XSSや、AIエージェントAutoGPTのDOM型XSSなど、表示の穴が大きな被害に化けた事例を継続的に取り上げています。

自分のSiYuanは対象か（バージョン別早見表）

まずは下の表で、自分が使っているSiYuanのバージョンを確認してください。修正は3.6.1で入っています。バージョンはアプリの設定画面（「設定」→「バージョン情報」など）から確認できます。

バージョン	2件のCVEの影響	対処
3.6.0以前（3.6.1より前）	対象（マーケット閲覧で危険）	即3.6.1以降へ更新
3.6.1以降	修正済み	最新版への追従を継続
パソコン版（Windows/Mac/Linux）	乗っ取り（RCE）まで到達し得る	最優先で更新
スマホ版・サーバー版	XSSの影響あり（同様に要更新）	3.6.1以降へ更新

とくにパソコン版（Electron版）は、画面の穴がそのままパソコンの乗っ取りに跳ね上がるため、最優先で更新してください。アプリは多くの場合、起動時に更新の有無を知らせてくれますが、しばらく更新していない人は、この機会に手動で最新版を確認することをおすすめします。

いますぐやるべきこと

1. SiYuanを3.6.1以降に更新する。 これが最優先かつ最も確実な対処です。公式のリリースページから最新版を入手し、パソコン版・スマホ版・サーバー版のいずれも更新します。更新が終わるまでは、次の項目で被害の入口を一時的にふさいでください。

2. 更新が済むまでBazaar（マーケット）を開かない。 今回の攻撃は、マーケットの一覧や紹介ページを開いた瞬間に発火します。古いバージョンを使っている間は、Bazaarのテーマ・プラグイン・テンプレートの画面を開かないようにすれば、当面の引き金を避けられます。新しいパッケージの導入も更新後に回してください。

3. 心当たりがあれば認証情報を変更する。 更新前に怪しいパッケージを開いた覚えがある、あるいは見覚えのない動作（勝手なウィンドウの起動など）があった場合は、ノートに書いていたパスワード類、メールやクラウドのログイン情報を変更し、パソコンに保存したサーバー接続用の鍵（SSHキー）を作り直します。

4. パソコンの不審な痕跡を点検する。 身に覚えのない常駐プログラムや、自動で立ち上がる設定（スタートアップ）、不審な外向き通信がないかを確認します。攻撃者は居座るための裏口を仕込むことがあるため、心配な場合はウイルス対策ソフトでの検査を行ってください。

5. 導入元のはっきりしないパッケージを見直す。 今後の予防として、作者や評判が確認できないテーマ・プラグインを安易に入れない習慣をつけます。マーケットに並んでいること自体は「安全の保証」ではない、と意識しておくことが、同種の攻撃への一番の防御になります。

攻撃中CVEの一覧と関連記事

2026年6月時点で、CVE-2026-56395・CVE-2026-56397は米政府CISAが公開する「実際に攻撃されている脆弱性リスト（KEV）」には登録されていません。ただし、攻撃コードの例がすでに公開されており、利用者が日常的に開くマーケットが入口になるため、悪用の現実味は低くありません。攻撃が確認されたCVEの最新状況は、本サイトのCISA KEVダッシュボード（日本語版）で随時更新しています。

SiYuanのBazaarのように、利用者が信頼して導入する「配布物」に毒を混ぜる手口は、アプリの拡張機能やライブラリ全般で繰り返し起きています。利用しているオープンソースの部品に既知の穴がないかは、OSSサプライチェーン・スキャナーから確認できます。なお、SiYuanのBazaarをめぐっては、今回の2件より前にも紹介ページの表示に関する同種の欠陥が報告されており、同じ箇所の作り込みが繰り返し問題になっています。表示の無害化が乗っ取りに直結する事例は、無害化ライブラリ自体の欠陥など、本サイトでも継続的に取り上げています。

まとめ

CVE-2026-56395とCVE-2026-56397は、人気のノートアプリSiYuanのマーケット機能「Bazaar」で、パッケージの表示名・説明文や紹介ページに仕込まれた不正なプログラムが、無害化されないまま画面に表示されてしまう欠陥です。利用者がマーケットを開くだけ（説明文経由ならクリックすら不要）で発火し、SiYuanのElectron設定が緩かったために、画面の小さな穴がパソコンそのものの乗っ取りにまで跳ね上がります。深刻度はいずれもCVSS 9.6で、修正版3.6.1がすでに公開されています。

この穴の本当の怖さは、攻撃の入口が「マーケットを眺める」という何気ない操作で、しかも被害がノートの中身からパソコン全体にまで及ぶ点にあります。SiYuanを使っているなら、まず3.6.1以降への更新を最優先で行い、更新が済むまではBazaarを開かないようにしてください。あわせて、作者や評判の分からないパッケージを安易に入れない習慣が、同じ型の次の攻撃からあなたのノートとパソコンを守ります。