画像ライブラリ libheif 1.18.0〜1.23.2 で、クロマ成分のビット深度が異なる HEIF ファイルによりヒープ領域へ書き込めるバッファオーバーフロー（CVE-2026-120208）: 1.23.3 で修正、CVSS 7.5（VulnCheck）

NVD は 2026-10-31（18:17 UTC）に、HEIF/HEIC 画像を扱うオープンソースのライブラリ「libheif」の CVE-2026-120208 を登録しました。説明によれば、1.18.0 以上 1.23.3 未満で、非圧縮（unci）形式の混在インターリーブ方式を読み込む unc_decoder_mixed_interleave::processTile() にヒープ上のバッファオーバーフロー（CWE-122）があります。2 つの色差（クロマ）成分でビット深度が異なるファイル（例: Cb が 16 ビット、Cr が 8 ビット）を読み込むと、Cr 用の領域の外側にファイルの内容に応じた書き込みが起き、画像処理の流れの中でコード実行に至る可能性があるとされています。登録元（CNA）は VulnCheck で、NVD の状態は「Deferred」（NVD による分析の優先度が下がっている状態）です。

何が起きるか（CNA の説明とプロジェクトの記載）

• 細工した HEIF ファイルを libheif で読み込ませる（デコードする）と、ヒープ領域の範囲外へ書き込まれます。書き込まれる内容と長さは、ファイルの側で決められると説明されています。
• libheif の 1.23.3 リリースノートは、同リリースの修正のうち 1 件を「critical（重大）」と評価し、全ての利用者に更新を強く勧めています。このリリースノートの 1 件目の記載は、本件の説明（unci の混在インターリーブ方式のデコーダー、2 つのクロマ成分のビット深度が異なる場合）と内容が一致します。ただし、リリースノートの時点では CVE 番号が未割り当てで「CVE-2026-XXXXX」と書かれているため、本件との対応は記載内容の一致に基づく当サイトの推定です。
• CVSS v3.1 は 7.5（High、CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）、CVSS v4.0 は 7.7（High）です。いずれも VulnCheck（CNA）が付与した値で、NVD 自身の評価はありません。ベクターでは、攻撃の複雑さが高（AC:H）、利用者の操作が必要（UI:R）とされています。
• 攻撃の入口は、libheif で画像を読み込む処理です。画像の変換、サムネイル生成、プレビューなど、外部から受け取った画像を自動で処理する仕組みが対象になり得ます。攻撃にはファイルを処理させる必要があり、ネットワークから直接アクセスされるサービスの欠陥とは性質が異なります。
• 実際の攻撃での悪用の報告は確認できていません。公開されている攻撃コードの有無も確認していません。

影響を受ける条件と評価

項目	内容
対象	libheif 1.18.0 以上 1.23.3 未満（CNA の記載）
弱点	CWE-122（ヒープ領域のバッファオーバーフロー）
前提	細工された HEIF ファイルを libheif がデコードすること。unci（非圧縮）形式の混在インターリーブを扱う経路
影響	ヒープ領域への範囲外書き込み。コード実行の可能性があると説明されている（実現性は未確認）
CVSS	v3.1 は 7.5、v4.0 は 7.7。いずれも VulnCheck（CNA）の値
状態	NVD の状態は「Deferred」（NVD 自身の分析は未実施）
EPSS	公開直後のため FIRST に値がない（未算出）
KEV	掲載なし（CISA の 2026.10.30 版、1766 件）
修正	1.23.3（2026-09-01 にプロジェクトが公開）。2026-11-01 時点の最新版は 1.23.7

severity を high とした理由

CVSS はいずれも High（7.5 / 7.7）で、本記事の severity 欄も high としました（当サイトの判断）。コード実行の可能性が説明されている一方、細工した画像を処理させる必要があり、ベクター上も攻撃の複雑さが高・利用者の操作が必要とされています。プロジェクト自身は修正のうち 1 件を「critical」と評価していますが、CVSS には反映されておらず、この評価と本件の対応は推定です。

対応として考えられること（本記事の推定）

1. libheif を直接使っているアプリケーションや、libheif を組み込んだ画像処理の仕組み（画像変換ツール、サムネイル生成、画像ビューアー、Web サービスの画像アップロード処理など）を洗い出します。
2. 使っている版が 1.18.0〜1.23.2 の範囲かを確認し、1.23.3 以降（確認時点の最新は 1.23.7）へ更新します。OS のパッケージや、他のソフトに同梱された libheif は、提供元の更新を待つ必要がある場合があります。同梱されている版の確認はそれぞれの提供元の情報で行ってください。
3. 更新までの間、外部から受け取った HEIF/HEIC ファイルを自動で処理している場合は、処理を行うプロセスの権限を絞る、隔離した環境で処理する、といった影響を小さくする措置を検討します。
4. 異常終了（クラッシュ）が不自然に増えていないかを、画像処理を行うサービスのログで確かめます。具体的な攻撃の指標は公開されておらず、未確認です。

未確認の点

• 実際にコード実行まで可能か（実現性）は未確認です。CNA の説明は「可能性がある」としています。
• 攻撃の再現はしていません。悪用の報告は確認できていません。KEV にも載っていません（確認時点の版）。
• CVSS は VulnCheck の値のみで、NVD 自身の評価は確認できていません。
• リリースノートの該当項目と本件 CVE の対応は、記載内容の一致に基づく推定です（リリースノートに CVE 番号なし）。
• GitHub のセキュリティ勧告（GHSA-x8r2-mggj-j6wr）は参照先に載っていますが、本文は確認できていません。
• 当サイトでは、挙動を再現していません。記載は NVD とプロジェクトのリリースノートに基づきます。
• 日付は NVD の登録（2026-10-31 18:17 UTC）と、リリースノートの公開日（2026-09-01）に基づきます。