iTerm2 3.7.7beta2 未満 CVE-2026-123014: 細工した x-man-page: URL を開くだけで任意コマンド実行の恐れ（CVSS v4 8.7）

iTerm2（macOS 向けターミナルアプリ）の 3.7.7beta2 より前の版に、細工した x-man-page: URL を開かせることで、ログイン中のユーザーの権限で任意のコマンドを実行できる欠陥が登録されました（CVE-2026-123014）。NVD への登録は 2026-11-05（状態は Received）です。CVSS は CVE の登録元（MITRE）が付けた値で、NVD 自身の最終評価はまだありません。

何が起きるか

• iTerm2 は x-man-page: という URL を受け取ると、macOS の /usr/bin/man を呼び出してマニュアルを表示します。
• この URL に「パーセントエンコードした NUL 文字（%00）」を混ぜると、入力の検査をすり抜けます。その後、コマンドラインを組み立てる段階で NUL が空白に変わるため、攻撃者が追加の引数を差し込めます。
• 差し込める引数の例が -P です。man のページャー（表示用プログラム）を攻撃者が指定したコマンドに差し替えられ、ユーザーの権限で実行されます。
• 悪用には、ユーザーが細工した URL を開くことが必要です（ウェブページのリンクなど）。
• 弱点は、2023 年の CVE-2023-46321 の修正が不完全だったために残っていたものとされています。

数値と severity

• CVSS v4.0: 8.7（HIGH、AV:N/AC:L/AT:N/PR:N/UI:P、機密性・完全性・可用性すべて高）。
• 認証は不要ですが、ユーザーが URL を開く操作（UI:P）が必要で、評価は 9 未満です。基準どおり severity は high とします。
• CISA の KEV には載っていません（確認時点の公開カタログ）。EPSS は登録直後のため未付与でした（FIRST の API で確認）。

修正の状況

• 修正は 3.7.7beta2 で入ったとされています（それより前の版が対象）。製品のダウンロードページと、開発元の GitLab にある修正コミットが参照先に挙がっています。
• 修正コミットには、x-man-page: の引数を許可リスト方式で検査するテストが含まれています。先頭がハイフンの引数、スラッシュ、制御文字、シェルの記号、非 ASCII 文字を拒否する内容です。
• 3.7.7beta2 より前に出た正式版のうち、どこまでが影響を受けるか（正式版の修正版番号）は今回確認できていません。

対策として考えられること

1. iTerm2 を使っている場合は、修正を含む版（3.7.7beta2 以降）へ更新します。正式版の修正版が出ているかは、ダウンロードページで確認してください。
2. 更新できるまでは、信頼できないリンクやウェブページから iTerm2 を開かせない運用にします。ブラウザやメールから外部アプリの URL を開く前の確認画面を有効にしておく方法も考えられます（有効性は未確認で、推定です）。
3. 出所の分からない x-man-page: リンクは開かないようにします。

未確認の点

• 影響を受ける版の下限と、正式版での修正版番号。
• 実際の悪用の有無、公開された概念実証（PoC）の有無。
• 利用規模と、実際にどこまで攻撃が通るか。
• NVD の最終評価（現在は登録元の評価のみ）。