Electron: 共有レンダラープロセスで`nodeIntegrationInWorker`が正しくスコープされていません

CVE-2026-34775 は Electron に影響を与えます。Electron は、JavaScript、HTML、CSS を使用してクロスプラットフォームのデスクトップアプリケーションを記述するためのフレームワークです。38.8.6、39.8.4、40.8.4、および 41.0.0 以前のバージョンでは、webPreference である nodeIntegrationInWorker がすべての構成で正しくスコープされていませんでした。その結果、特定のプロセス共有シナリオにおいて、nodeIntegrationInWorker: false で構成されたフレームで起動されたワーカーが、依然として Node.js 統合を受け取ることができました。この統合により、ワーカーは Node.js API へのアクセス権を持つ JavaScript コードを実行できるようになり、適切に制御されない場合、危険となる可能性があります。この脆弱性は、nodeIntegrationInWorker を有効にするアプリケーションにのみ関連します。脆弱性の重大度は CVSS スケールで 6.8 と評価されています。

Applications built with Electron that utilize workers and have enabled nodeIntegrationInWorker are at risk. This includes desktop applications that handle sensitive data, interact with external APIs, or process user input. Shared hosting environments where multiple Electron applications share resources could also be vulnerable if one application is compromised.

• linux / server:

ps aux | grep -i electron | grep -i 'nodeIntegrationInWorker'

• windows / supply-chain:

Get-Process -Name Electron | Select-Object -ExpandProperty Path | ForEach-Object { Get-ChildItem $_ -Recurse | Where-Object {$_.Name -match 'nodeIntegrationInWorker'}} 

• generic web: Inspect Electron application's web preferences for nodeIntegrationInWorker configuration. Review application code for worker creation and usage patterns.

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-03
3. 更新日2026-04-08
4. EPSS 更新日2026-04-11

CVE-2026-34775 を軽減するための解決策は、脆弱性を修正する Electron のバージョンに更新することです。影響を受けるバージョンは、38.8.6、39.8.4、40.8.4、および 41.0.0 以前のすべてのバージョンです。最新の利用可能なバージョン (現在 38.8.6 以降) に更新することを強くお勧めします。さらに、アプリケーション内の nodeIntegrationInWorker の構成を確認し、絶対に必要な場合にのみ有効になっていることを確認してください。nodeIntegrationInWorker を使用しない場合は、無効にすることでアプリケーションの攻撃対象領域を減らすことができます。更新は、Electron チームが提供するアップグレード手順に従って実行する必要があります。