AIエージェント搭載ターミナルWarpの脆弱性と安全なバージョン

AIエージェント（指示に応じて自分で作業を進めるAI）を組み込んだ開発者向けのターミナル「Warp（ワープ）」には、細工した文書を開く・画面に流れた出力を受け取る・悪意あるリポジトリでAIに作業させるといった日常の操作をきっかけに、手元のパソコンで勝手にプログラムやファイル操作を実行されかねない脆弱性（プログラムの欠陥）が複数ありました。これらはすべて2026年5月6日付のstable版（0.2026.05.06.15.42.stable_01）以降で修正済みです。いま使っているWarpがこれ以降の版なら追加の対処は不要、それより古い版なら更新が必要です。

この一連の弱点は、Warpが「画面に表示された内容」や「AIエージェントが触るファイル・リポジトリ」といった外から入ってくる情報をどこまで安全に扱うか、という同じ根っこから来ています。GitHubのSecurity Advisoriesとして同時に計10件が公開され、深刻度は中程度〜重要クラス（最高でも10点満点中8.8）にとどまり、最悪の乗っ取り級ではありません。ただ、きっかけが日常の操作そのものなので気づかず踏みやすいのが厄介です。代表となるのが本記事で詳しく見る4件（CVE-2026-48704／48720／48721／48732）で、残りも含めすべて同じ修正版で解消されています。2026年7月23日時点で、これらが実際の攻撃に使われたという報告はありません。

Warpとはどんなソフトか

Warpは、プログラマーが日常的に使うターミナル（黒い画面で命令を打ち込み、パソコンを操作する道具）を現代的に作り直したソフトです。ふつうのターミナルと違い、AIエージェントが組み込まれていて、自然な言葉で頼むとコマンドを考えて実行したり、不具合の調査やコードの修正を代わりに進めたりできます。

macOS・Linux・Windowsで動き、GitHubでも高い人気を集めています。公式サイトによると大企業（Fortune 500）でも使われ、AIを使った開発ツールの中でも定番の一本です。更新は毎週（木曜）配信され、本記事執筆時点の最新stable版は0.2026.07.15.08.55（2026年7月16日公開）です。

便利な反面、Warpは「画面に表示された内容」や「AIエージェントが触るファイル・リポジトリ」をきっかけに動く場面が多く、そこに悪意ある中身が紛れ込むと、利用者が意図しない操作まで実行されかねません。一連の弱点は、まさにこの「信用できない入力をどこまで安全に扱うか」という一点に集まっています。

誰が狙い、何をされ、どうなるのか

狙われるのは、Warpを使って、外部から受け取ったコードや文書、見ず知らずのリポジトリ（プログラムの保管庫）を扱う開発者です。ネットで拾ったコマンドの出力を画面に流す、配布されたMarkdown文書（見出しや箇条書きを簡単な記号で書く文書）を開く、他人のリポジトリをAIエージェントに調べさせる——こうした、開発の現場でごく当たり前に起きる行動が入口になります。

攻撃者がすることは、そうした文書・出力・リポジトリ名などに罠を仕込み、利用者がWarpで開いたり操作したりした拍子に、手元のパソコンで勝手にプログラムを実行させたり、ファイルを書き込ませたりすることです。いずれも「利用者が何か一手を加える」ことが前提（クリックする、出力を受け取る、AIに作業させる等）ですが、その一手は日常の作業そのものなので、気づかずに踏みやすいのが厄介な点です。

実行されると、パソコンの中のファイルの盗み見や書き換え、SSH（遠隔のサーバーへ安全に接続するしくみ）の認証情報を使った別サーバーへの侵入など、被害が一気に広がる恐れがあります。開発者のパソコンには本番環境やクラウドへの鍵が入っていることが多いため、入口は小さくても影響は大きくなりがちです。

見ず知らずのリポジトリをAIエージェントに扱わせる行為は、取り込む外部の資産をどこまで信用するかという問題ともつながります。今回の一連の弱点も、この「外から来たものをどこまで信じるか」という一点に集まっています。外部から持ち込むコードやパッケージの点検はOSS サプライチェーン スキャナーの考え方とあわせて見直す価値があります。また、攻撃に使われ始めた脆弱性は米政府機関CISAの「実際に攻撃されている脆弱性リスト」に載ることがあり、日本語で追える一覧はCISA KEV ダッシュボード（日本語版）にまとめています。

代表的な4件の脆弱性の中身

同時公開された10件のうち、深刻度が高く狙われ方の分かりやすい代表格が次の4件です。いずれも「信用できない入力の扱い」が原因ですが、入口（きっかけ）がそれぞれ異なります。すべて2026年5月6日付のstable版以降で修正済みです。

CVE-2026-48704：細工したMarkdown文書のリンクで実行ファイルが開く（CVSS 8.8）

公開情報によると、Warpは文書中のリンクから手元のローカルファイルを開く際、安全な閲覧・編集用のソフトに限定せず、OSの既定のアプリにファイルを丸投げしていました。攻撃者は、ふつうの文章に見せかけたMarkdown文書の中に実行ファイルへのリンクを仕込めます。利用者がそれをクリックすると、本来開くべきでない実行ファイルがそのまま起動してしまう恐れがありました（GHSA-589x-4mxh-jcrf）。

CVE-2026-48720：画面に流れた出力だけでファイルが書き出される（CVSS 8.8）

ターミナルには、画面表示を制御するための特殊な命令（エスケープシーケンス）を出力に混ぜられる仕組みがあります。この欠陥では、Warpが「OSC 1337;File」という形式の指示を出力から受け取ると、確認の手順を挟まずに、その中身をローカルファイルとして書き出してしまいました。つまり、悪意あるサーバーやコマンドの出力を画面に流しただけで、利用者の手元に任意のファイルを置かれる恐れがあったということです（GHSA-5h96-jrrq-6hxq）。

CVE-2026-48721：AIエージェントの許可チェックを回避できる（CVSS 8.6）

Warpの既定のAIエージェント設定は、サンドボックス（実行を隔離する仕組み）なしで動きます。この欠陥では、危険なコマンドをはじくための照合（拒否リストとの突き合わせ）を、環境変数の表記を正規化する前に行っていたため、書き方を工夫すると照合をすり抜けられました。結果として、本来止められるはずのコマンド実行が、許可チェックを回避して通ってしまいます（GHSA-3839-h8jj-ph82）。

CVE-2026-48732：SSH接続時にホスト名・ディレクトリ名から命令を注入（CVSS 8.8）

この欠陥は、SSH接続の裏側で動く古い処理にあります。Warpは接続先の情報を集める補助コマンドを組み立てる際、リモート側の作業ディレクトリ名などをそのまま使っていました。攻撃者がリモートのホスト名・リポジトリ名・ディレクトリ名に悪意ある文字列を仕込んでおくと、利用者がそこへSSH接続した瞬間に、その文字列が命令として解釈され、利用者のSSH権限で勝手なコマンドが実行されてしまいます（GHSA-qqpc-wvvw-4269）。

この4件のほかにも、同じ日に計6件のアドバイザリが公開されています。いずれも「外から来た文字列や表示内容を、そのまま命令として扱ってしまう」という同じ系統の弱点で、具体的には、WSL（Windows上でLinuxを動かす仕組み）のターミナルリンク、DCSと呼ばれる画面制御命令の偽装、Gitのブランチ名、画面クリップボードへのアクセス（OSC 52）、Linuxの外部エディタ連携、コード検索ツールへの引数——といった経路が入口になります。これら6件も含め、10件すべてが同じ2026年5月6日付のstable版以降で解消済みです。つまり、対処すべきかどうかはCVE番号を1件ずつ追う必要はなく、「使っているWarpがこの版以降か」の一点だけで判断できます。

何をすると危ないか早見表

代表的な4件はいずれも「利用者の一手」が入口です。いずれも2026年5月6日付のstable版以降で修正済みです。

いずれも「自分が一手を加える」点で完全な無操作ではありませんが、その一手はクリックや出力の表示など日常の作業そのものです。とくに、見ず知らずのリポジトリをAIエージェントに扱わせる場面は注意が必要です。

いま取るべき対策

最優先は、Warpを更新することです。修正は2026年5月6日付のstable版（0.2026.05.06.15.42.stable_01）に入っており、これ以降なら一連の弱点はすべて解消されています。Warpは毎週（木曜）更新され、本記事執筆時点の最新stable版は0.2026.07.15.08.55（2026年7月16日公開）なので、ふつうに更新していれば対象外です。Warpの設定画面から更新を確認できます。バージョン表記は日付を含む形式（例: 0.2026.05.06.15.42.stable_01）なので、自分の使っているビルドがこの修正版以降かどうかを確かめてください。

すぐに更新できない場合の心がけとして、次の点が有効です。出どころの怪しい文書のリンクは開かない、信用できないコマンドやサーバーの出力をそのまま画面に流さない、見ず知らずのリポジトリをAIエージェントに自動で触らせないこと。AIエージェントを使う際は、可能なら隔離された環境や権限を絞った設定で動かすこと。SSH接続は、接続先が信頼できる場合に限ることです。万一すでに不審な実行があった場合に備え、パソコンに保存したSSHやクラウドの認証情報の入れ替えも検討してください。

まとめ

AIエージェント搭載ターミナルWarpの一連の脆弱性は、代表的な4件（CVE-2026-48704／48720／48721／48732）を含め計10件が同時に公開されたもので、いずれも「信用できない入力の扱い」が甘く、文書を開く・出力を表示する・AIに作業させる・SSH接続するといった日常の操作をきっかけに、手元のパソコンで勝手なプログラム実行やファイル操作を許してしまうものです。深刻度は中程度〜重要クラス（代表4件は10点満点中8.6〜8.8）で、10件すべてが2026年5月6日付のstable版（0.2026.05.06.15.42.stable_01）以降で修正されています。

AIが自分で作業を進めるツールほど、扱う入力に悪意が混ざったときの被害が大きくなります。とはいえ判断はシンプルで、確かめるのは「使っているWarpが修正版以降か」の一点だけです。公開から1ヶ月半が経った2026年7月23日時点で、これらが実際の攻撃に使われたという報告はなく、その後Warpで新たな脆弱性も公開されていません。Warpは毎週更新されるため、ふつうに更新していれば対象外ですが、しばらく更新していない場合は設定画面からバージョンを確認し、修正版より古ければ更新してください。

参照元

• ▸NVD - CVE-2026-48704（Markdownのリンクで実行ファイルが開く）
• ▸NVD - CVE-2026-48720（出力からファイルが書き出される）
• ▸NVD - CVE-2026-48721（AIエージェントの許可チェック回避）
• ▸NVD - CVE-2026-48732（SSH接続時のコマンド注入）
• ▸Warp Security Advisories（GitHub・報告元）
• ▸GitHub - warpdotdev/warp（本体・リリース）
• ▸Warp 公式サイト（製品概要・対応OS）