CVE-2026-22166: WebGPU UAF in GPU DDK 1.18.0–26.1 RTM

この脆弱性は、攻撃者が特異なWebGPUコンテンツをGPU GLESレンダプロセスにロードすることで、Use-After-Free (UAF)クラッシュを引き起こす可能性があります。システム権限を持つプロセスでこの脆弱性が悪用される場合、攻撃者はシステム上で任意のコードを実行し、機密情報を盗み出し、システムを完全に制御する可能性があります。この脆弱性は、WebGPUを実装しているアプリケーションやサービスを使用しているシステムに影響を与えます。WebGPUの利用状況によっては、攻撃対象領域が広がる可能性があります。類似のUAF脆弱性は、メモリ破壊につながる可能性があり、システム全体の安定性に影響を与える可能性があります。

1. 公開日2026-05-01
2. EPSS 更新日2026-05-09

現時点では、GPU DDK 1.18.0–26.1 RTMに対する公式な修正バージョンは提供されていません。しかし、この脆弱性のリスクを軽減するために、いくつかの緩和策を講じることができます。まず、WebGPUコンテンツの検証と制限を実装し、悪意のあるコンテンツがレンダプロセスにロードされるのを防ぐ必要があります。また、WebGPUの利用を最小限に抑え、信頼できないソースからのコンテンツのロードを避けることが推奨されます。WAFやプロキシサーバーを使用して、悪意のあるWebGPUコンテンツをブロックすることも有効です。WebGPUの入力検証を強化し、不正な形式やコンテンツを拒否するように設定してください。