OpenSSLに重要度Highを含む14件の脆弱性（2026年9月29日公表）とは？ 修正版4.0.3への更新とDTLS環境の対処を解説

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングOpenSSL

OpenSSL Projectは2026年9月29日、広く使われる暗号化ライブラリOpenSSLの脆弱性14件をまとめた「OpenSSL Security Advisory [29th September 2026]」を公開しました。JVNは2026年10月1日、この内容をJVNVU#93468181として注意喚起しています（出典: JVN、2026年10月1日取得）。14件のうち重要度「High」はCVE-2026-84782（DTLS再送処理のバッファ読み超過）の1件で、リモートからヒープメモリ内の平文が漏えいする恐れがあります。VPNや音声通話などDTLS／QUICを使うサーバー・アプリを運用している場合、すみやかに修正版（4.0.3／3.6.5／3.5.9／3.4.8）への更新を進めてください。

何が起きたか（要点）

2026年9月29日のSecurity Advisoryでは、CVEが14件挙げられています。重要度は「High」1件・「Moderate」1件・「Low」12件で、全件ともFIPSモジュール境界の外側にあるコードが対象のため「FIPS impact: no」と明記されています（出典: OpenSSL Project、2026年10月1日取得）。主な脆弱性は次のとおりです。

• CVE-2026-84782（High・CWE-125）: DTLSハンドシェイクの書き込みが中断中（WANT_WRITE）に再送タイマが発火すると、ヒープメモリの平文が漏えいするか、アプリがクラッシュ（DoS）する恐れ。影響ブランチは4.0／3.6／3.5／3.4／3.0／1.1.1／1.0.2のすべて
• CVE-2026-84783（Moderate・CWE-416）: X.509拡張キャッシュの並行利用時の解放済みメモリ参照。複数の接続が同一の信頼済みCA証明書へのチェーン構築を同時に行うとクラッシュ（DoS）する恐れ。影響ブランチは4.0のみ
• DoS（サービス停止）系のLowが多数: 相対CRLDP処理の過大メモリ確保（CVE-2026-35189）、QUIC接続あたり最大100MBのヒープ確保（CVE-2026-75804）、QUICの接続ID追加要求で最大約400MB確保（CVE-2026-84784）など
• タイミング側チャネル系のLow: NIST以外のEC曲線（brainpoolP384r1、SM2など）でのスカラー乗算が非定数時間で、測定を重ねると秘密鍵が復元される可能性（CVE-2026-54872、CVE-2026-77696）。P-256／P-384／P-521は非影響
• その他: CMPクライアントの失効応答処理でのNULLポインタ参照（CVE-2026-75805）や、DTLS 1.2 AEADレコードの過小サイズによる接続切断（CVE-2026-75806）など

対象バージョンと影響

対象ブランチはCVEごとに異なります（出典: OpenSSL Project、2026年10月1日取得）。HighのCVE-2026-84782は現行の通常サポートブランチ4.0／3.6／3.5／3.4と、Premiumサポートの3.0／1.1.1／1.0.2のすべてが対象で、幅広い環境が該当します。一方、ModerateのCVE-2026-84783は4.0ブランチのみで、QUIC系の脆弱性（CVE-2026-35191、CVE-2026-42772、CVE-2026-54873、CVE-2026-54875、CVE-2026-72897、CVE-2026-75804、CVE-2026-84784）は4.0／3.6／3.5（一部は3.4も）が対象です。

• OpenSSL 3.1、3.2、3.3はサポート終了済みのブランチで、今回のアドバイザリでは分析対象外とされています。これらを使い続けている環境は、修正版ブランチへの移行が必要です
• 影響の内容は「メモリ内平文の漏えい」「アプリのクラッシュによるDoS」「多数の接続に接続を壊されるDoS」「秘密鍵が盗み出される可能性（特定条件）」です。DTLSを稼働するVPN製品やリアルタイム通信は、平文漏えい（CVE-2026-84782）とDoSの両方の影響を受け得ます

何をすべきか（更新手順）

OpenSSLのアドバイザリは、使用中のブランチに対応する修正版へのアップグレードを求めています（出典: OpenSSL Project、2026年10月1日取得）。手順は次のとおりです。

1. openssl version で稼働中のOpenSSLのバージョン（ブランチ）を確認する
2. 通常サポート契約の環境: ブランチに対応する修正版（4.0.3／3.6.5／3.5.9／3.4.8）へアップグレードする。HighのCVE-2026-84782に該当するDTLSを稼働するシステムは最優先で対応する
3. Premiumサポート契約の環境: 3.0.23／1.1.1zj／1.0.2zsへアップグレードする
4. OSパッケージやディストリビューションでOpenSSLを管理している場合（多くのLinuxサーバーが該当）は、ベンダーの更新パッケージの提供を待って適用する。OpenSSLを直接ビルドしているVPN機器・アプライアンス製品を使っている場合は、製品ベンダーの修正プログラムの提供状況を確認する

アカウント乗っ取りの観点で見た影響

OpenSSLはTLS／DTLSの暗号化そのものを担う部品のため、今回の欠陥は「認証情報が乗る通信の中身が漏える・接続が止まる」につながる可能性があります。特にHighのCVE-2026-84782はDTLS（VPNや音声・映像通話で使われる暗号化方式）を有効にした環境で、メモリ上の平文が漏えいする恐れがある点が重要です。アカウント乗っ取りの観点では、VPN接続中の社内システムやリアルタイム通信サービスの運用者が該当し、利用者側の操作変更よりも運用者側の更新対応が要ります。今回の注意喚起には、既知の悪用（実際の攻撃が確認された）の記載はありません。

OpenSSLを自分で運用していない場合

個人でOpenSSLを運用していない読者が今回の脆弱性で直接取るべき操作はありません。ただし、職場や学校のVPN、ビデオ会議、社内システムがOpenSSL（DTLS／QUIC）を動かしている場合は、ネットワーク管理者やシステム管理者に「OpenSSLの2026年9月29日のアドバイザリ（修正版4.0.3／3.6.5／3.5.9／3.4.8）への更新状況」を確認するよう伝えるのが利用者側の行動になります。更新を待つ間も、VPN等の通常利用を止める必要はありません。

よくある質問

Q. 自分の環境が該当するか確かめる方法は？

openssl version でバージョンを確認してください。4.0／3.6／3.5／3.4のいずれかのブランチで修正版（4.0.3／3.6.5／3.5.9／3.4.8）より古い場合、HighのCVE-2026-84782を含む複数の脆弱性が該当します。Premiumサポートの3.0／1.1.1／1.0.2を使っている場合も該当するCVEがあります（出典: OpenSSL Project、2026年10月1日取得）。

Q. HighのCVE-2026-84782はどんな環境で危うい？

DTLSを稼働するサーバーやクライアント（VPN装置、リアルタイム通信）が対象です。DTLSハンドシェイクの書き込みが「WANT_WRITE」で中断している間に再送タイマが発火すると、ヒープメモリの平文が攻撃者に送られるか、アプリがクラッシュします。リモートから実行可能な欠陥のため、外部に露出するDTLS環境ほど早い対応が望まれます（出典: OpenSSL Project、2026年10月1日取得）。

Q. OpenSSL 3.1／3.2／3.3を使っている場合はどうする？

3.1、3.2、3.3のブランチはサポートが終了しており、今回のアドバイザリの分析対象外です。更新版は提供されないため、通常サポートのブランチ（3.4／3.5／3.6／4.0のいずれか、修正版以降）への移行が実務上の対応になります（出典: OpenSSL Project、2026年10月1日取得）。

出典: JVN JVNVU#93468181「OpenSSLにおける脆弱性に対するアップデート（2026年9月29日）」（2026年10月1日取得）／OpenSSL Project「OpenSSL Security Advisory [29th September 2026]」（2026年10月1日取得）。ROOT TEAMはパスワード流出やアカウント乗っ取りの被害に遭われた方の復旧を支援しています（）。この記事の内容に疑問点がある場合はお問い合わせください。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針