FreeRDP 3.32.2 未満 CVE-2026-121950〜121964: 悪意ある RDP サーバーや認証前の接続でメモリ破壊・停止が起きる 15 件（最大 CVSS 9.8・修正版 3.32.2）

オープンソースの RDP（リモートデスクトップ）実装 FreeRDP の 3.32.2 より前の版で、メモリ破壊などの欠陥が 15 件まとめて登録されました（CVE-2026-121950〜CVE-2026-121964）。NVD への登録は 2026-11-04 で、状態は Undergoing Analysis（NVD の評価待ち）です。修正版の 3.32.2 は 2026-10-12 に公開済みで、リリースノートには「研究者の指摘を受けてコードを大きく堅くした」とあります。

何が起きるか

欠陥は、影響を受ける場所で 3 つに分けられます。

• クライアント（FreeRDP で接続する側）に対するもの。悪意ある RDP サーバー、または通信の途中に入った攻撃者が起点になります。 121950（描画面の寸法の整数あふれ）、121953（描画チャネルの解放後使用）、121954（プレーナーコーデックの境界外書き込み）、121955（スマートカード擬似処理の解放後使用）、121957（描画リセットとの競合による解放後使用）、121958（描画面の削除でのキー切り詰めによる境界外書き込み）、121959（WebSocket の途中切断で無限ループ）、121962（認証結果の分割読み込みによるバッファ超過）、121963（音声チャネルの解放後使用）、121964（RD ゲートウェイの RPC 断片によるヒープ超過）。クラッシュのほか、121953・121964・121958 は説明上、コード実行に至る可能性があるとされています。
• サーバー（FreeRDP の shadow サーバーなど）に対するもの。認証前の相手から送れます。 121956（Kerberos の二重解放）と 121960（CredSSP の TSRequest 欠落によるプロセス停止）は、認証前の相手が細工した接続でサーバーを落とせると説明されています。121951 は接続が成立したあとの細工した入力イベントで、アサーションが有効な構成のプロセスを止められます。
• FreeRDP プロキシに対するもの。 121952（ビットマップキャッシュ設定の境界外書き込み）は、プロキシに接続するクライアントが設定値を細工するとヒープが壊れ、情報漏えいやクラッシュが起きる恐れがあります。121961 は接続先の悪意あるサーバーがプロキシを止められる欠陥です。

FreeRDP は、Linux のリモートデスクトップクライアントの多く、画面共有ツール、仮想化・VDI の製品などに組み込まれて使われています。自分で FreeRDP を入れていなくても、組み込んだ製品が古い版を抱えている場合があります。

数値と severity

• 評価はすべて VulnCheck（CNA）によるものです。NVD 自身の評価はまだありません。
• 最も高いのは 121952 と 121953 の CVSS v3.1 9.8（v4.0 では 9.3）です。次いで 121958 が 8.8、121962 が 8.1、サーバー停止系（121951・121955・121956・121957・121960・121964）が 7.5、そのほかは 5.9〜6.5 です。
• 9.8 の 2 件のうち 121953 は、利用者が悪意あるサーバーに接続することが前提のクライアント側の欠陥です。評価は「操作不要」としていますが、実際には接続先を攻撃者に誘導される必要があります。121952 は FreeRDP プロキシを使っている環境に限られます。
• こうした前提を踏まえ、全体の severity は high とします。ただし 9.8 の評価をそのまま採るなら、認証不要で 9 以上のため critical にも当たります。確定は編集側の判断を待ちます。
• CISA の KEV には載っていません。FIRST の EPSS は付与されていません（確認時点）。

修正の状況

• FreeRDP 3.32.2 で修正されています（2026-10-12 公開）。121958 の説明は「3.32.1 まで」、121951 は「3.0.0 から 3.32.2 の前まで」となっています。
• 各 CVE に対応する GitHub のセキュリティ勧告（GHSA）が出ています。

対策として考えられること

1. FreeRDP を直接使っている場合は 3.32.2 以降へ更新します。
2. FreeRDP を組み込んだ製品（リモートデスクトップクライアントや VDI、画面共有ツール）は、提供元の更新を確認します。
3. 更新できないあいだは、信頼できないサーバー・RD ゲートウェイへの接続を避けます。
4. FreeRDP の shadow サーバーやプロキシを公開している場合は、インターネットから直接届かないようにし、VPN などの内側に限ります。

未確認の点

• 実際の悪用の有無と、公開された概念実証（PoC）の有無。
• コード実行に至るとされる 3 件（121953・121958・121964）が、実際の環境でどこまで現実的か。
• NVD の最終評価（9.8 の妥当性）。
• 製品ごと・配布パッケージごとの修正版の入り方（ディストリビューションでのバックポートなど）。
• 利用規模。