Gyazo、動画変換処理の脆弱性が侵入原因―133人の画像取得を確認

Helpfeelは2026年10月21日、画像共有サービス「Gyazo」の不正アクセスに関する最終調査結果を公表しました。9月に発表した情報漏えいについて侵入原因を説明し、133人が保存していた画像432件の閲覧・取得を確認したとしています。

原因は、動画などを変換する処理で外部入力がサーバー上の命令として解釈される脆弱性でした。攻撃者は9月11日から12日未明にかけて命令を実行し、そのサーバーから接続できるデータベースの情報を読み取り、外部へ送信しました。同社は自社システムの不備が原因で、外部部品や委託先を経由した攻撃ではないと説明しています。

画像が大量に取得された記録はなく、約4.9億件などの既報の数字は画像に付随するメタデータの件数です。外部へ送信した通信内容のログが残っていないため、流出データの項目・件数を直接確定できないという調査上の限界も示しました。

脆弱性は9月12日に修正済みです。全ソースコードの点検と重大度の高い問題の修正に加え、内部のアクセス制御を強化しました。AIによる静的解析や外部の脆弱性診断は継続対策として導入を進めています。