CVE-2026-23863: Attachment Spoofing in WhatsApp Desktop
プラットフォーム
android
コンポーネント
修正版
2.3000.1032164386.258709
CVE-2026-23863 は、WhatsApp Desktop for Windows における添付ファイルのスプーフィング脆弱性です。この脆弱性は、悪意のあるドキュメントにNULバイトが埋め込まれたファイル名を偽装することで、添付ファイルの種類を誤って表示させ、開くと実行可能ファイルとして実行される可能性があります。影響を受けるバージョンは 2.3000.0.0 から 2.3000.1032164386.258709 です。現在、この脆弱性の悪用事例は確認されていませんが、迅速なアップデートが推奨されます。
このCVEがあなたのプロジェクトに影響するか確認
build.gradle ファイルをアップロードすると、影響の有無を即座にお知らせします。
影響と攻撃シナリオ
この脆弱性を悪用されると、攻撃者は悪意のあるドキュメントを添付ファイルとして送信し、ユーザーを騙して開かせることができます。ファイル名が誤って表示されることで、ユーザーは無害なファイルであると誤認し、添付ファイルを開いてしまう可能性があります。添付ファイルを開くと、実行可能ファイルが実行され、攻撃者はシステムへのアクセス権を取得したり、マルウェアをインストールしたり、機密情報を盗み出す可能性があります。この脆弱性は、特にソーシャルエンジニアリング攻撃に利用される可能性があり、標的型攻撃やフィッシング詐欺のリスクを高めます。NULバイトの埋め込みは、ファイル拡張子のフィルタリングを回避する一般的な手法であり、この脆弱性は同様の攻撃手法に利用される可能性があります。
悪用の状況
この脆弱性は、2026年5月1日に公開されました。現在、この脆弱性の悪用事例は確認されていません。EPSS スコアはまだ評価されていません。NVD (National Vulnerability Database) および CISA (Cybersecurity and Infrastructure Security Agency) の情報もまだ公開されていません。この脆弱性は、添付ファイルの取り扱いに関するセキュリティ意識の向上と、ソフトウェアの定期的なアップデートの重要性を改めて認識させるものです。
脅威インテリジェンス
エクスプロイト状況
EPSS
0.01% (1% パーセンタイル)
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- 必要 — 被害者がファイルを開く、リンクをクリックするなどのアクションが必要。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- なし — 機密性への影響なし。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- なし — 可用性への影響なし。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 公開日
- EPSS 更新日
緩和策と回避策
この脆弱性への主な対策は、WhatsApp Desktop for Windows を最新バージョン (2.3000.1032164386.258709) にアップデートすることです。アップデートが利用できない場合、一時的な回避策として、不明な送信元からの添付ファイルは開かないように注意し、添付ファイルを開く前にファイルの内容を慎重に確認してください。また、WAF (Web Application Firewall) やプロキシサーバーを使用して、悪意のあるファイルがシステムに到達する前にブロックすることも有効です。ファイル名にNULバイトが含まれているファイルをブロックするルールを実装することで、攻撃のリスクを軽減できます。アップデート後、WhatsApp Desktop が正常に動作することを確認し、添付ファイルを開いて正常に処理されることを確認してください。
修正方法翻訳中…
Actualice WhatsApp Desktop para Windows a la versión 2.3000.1032164386.258709 o superior para mitigar el riesgo de spoofing de archivos. Esta actualización corrige la forma en que la aplicación maneja los nombres de archivo, evitando que archivos maliciosos se ejecuten bajo una falsa identidad. Descargue la última versión desde el sitio web oficial de WhatsApp.
よくある質問
CVE-2026-23863 — 添付ファイルのスプーフィング in WhatsApp Desktop for Windows とは何ですか？
CVE-2026-23863 は、WhatsApp Desktop for Windows における添付ファイルのスプーフィング脆弱性です。悪意のあるファイル名にNULバイトが埋め込まれたドキュメントを添付ファイルとして開くと、実行可能ファイルとして実行される可能性があります。
CVE-2026-23863 in WhatsApp Desktop for Windows に影響されていますか？
WhatsApp Desktop for Windows のバージョンが 2.3000.0.0 から 2.3000.1032164386.258709 の場合は、影響を受けています。最新バージョンにアップデートしてください。
CVE-2026-23863 in WhatsApp Desktop for Windows を修正するにはどうすればよいですか？
WhatsApp Desktop for Windows をバージョン 2.3000.1032164386.258709 にアップデートしてください。アップデートが利用できない場合は、不明な送信元からの添付ファイルを開かないように注意してください。
CVE-2026-23863 は積極的に悪用されていますか？
現在、この脆弱性の悪用事例は確認されていません。
CVE-2026-23863 の WhatsApp Desktop for Windows の公式アドバイザリはどこで入手できますか？
WhatsApp のセキュリティアドバイザリページで確認できます。詳細は WhatsApp の公式ウェブサイトを参照してください。
このCVEがあなたのプロジェクトに影響するか確認
build.gradle ファイルをアップロードすると、影響の有無を即座にお知らせします。
Android / Gradleプロジェクトを今すぐスキャン — アカウント不要
Upload your build.gradle and get the vulnerability report instantly. No account. Uploading the file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...