Pillow、画像を開くとコード実行につながる不備を修正―FlashPixの処理が対象

Pythonの画像処理ライブラリPillowの開発元は2026年10月17日、FlashPix形式の画像処理にコード実行につながる脆弱性を公表しました。CVE-2026-112398として管理され、告知上の対象は12.3.0以前、修正版は13.0.0です。利用者が送った画像の表示やサムネイル生成を行うサービスに関係します。

成立には、FlashPix対応に使う追加ライブラリolefileが導入され、不正な画像をPillowで開く条件が必要です。形式は拡張子ではなくファイルの中身から識別されるため、ファイル名だけをJPEGなどに制限しても、この処理へ到達する可能性は残ります。

原因は、画像データを展開する際のメモリー領域の大きさと、実際に書き込まれる画素データの量が一致しないことです。公開された検証では、メモリー配置をランダム化するASLRを無効にしたUbuntu上のPillow 12.2.0で細工したファイルを一つ開き、任意のコマンド実行に至っています。これは条件を固定した研究環境での実証であり、全構成での成功や利用企業での被害を示したものではありません。

運用担当者は画像処理を行うアプリのPillowとolefileの導入状況を確認し、修正版へ更新する必要があります。13.0.0ではPython 3.10のサポート終了も含まれるため、Python本体との組み合わせも確認対象です。画像処理を別のジョブやコンテナに分けている場合、その実行環境の更新漏れにも注意が必要です。