libheif CVE-2026-120208を登録―開発元はCritical、画像処理を1.23.3で修正

画像ライブラリlibheifのCVE-2026-120208が、日本時間2026年11月1日2時25分に登録されました。元の開発元告知は9月1日公開で、新たに見つかったゼロデイではありません。開発元はCritical、CNAのVulnCheckはCVSS v4.0で7.7・Highと評価しており、評価主体を分けて扱う必要があります。

対象は1.18.0〜1.23.2で、非圧縮コーデックを有効にしたビルドです。色差成分のビット深度が異なる画像を処理すると、確保した領域と書き込み幅が合わずヒープの境界外へ書き込みます。問題はlibheif内部にあり、WordPressだけに限定されるものではありません。

告知では特定のWordPress・Debian構成でファイル読み取りとコード実行を実証しています。ただし、結果はビルドや配置条件に依存し、すべての利用環境でRCEが成立するという説明ではありません。画像アップロードを受け付けるサービスでは、実際に変換を行うプロセスが利用するライブラリを確認します。

修正版は1.23.3です。OSの修正済みパッケージを使う場合は、版番号だけでなく修正の適用情報を照合してください。アプリの依存一覧にlibheifがなくても、画像変換ツール側に含まれる可能性があります。更新後はワーカーの再起動などで新しいライブラリを読み込み、通常の画像変換を確認します。