libwebsockets の MQTT PUBACK 処理で境界外書き込み（CVE-2026-114550）: CVSS v3.0 8.1、認証不要で任意コード実行の恐れ、修正版は未確認

libwebsockets（C 言語の軽量な WebSocket・HTTP・MQTT ライブラリ）の MQTT の PUBACK パケットの処理に、確保したバッファの終わりを越えて書き込む欠陥（CWE-787）があるとして、CVE-2026-114550 が 2026-11-04 に NVD に登録されました。届け出は Trend Micro の Zero Day Initiative（ZDI-26-792、管理番号 ZDI-CAN-31039）です。

何が起きるか

• 欠陥があるのは、MQTT プロトコルの PUBACK（メッセージ受信の確認応答）パケットを扱う処理です。
• 利用者が与えたデータを十分に検証しないため、確保したバッファの終わりを越えて書き込めます。
• 説明によると、リモートの攻撃者が、認証なしで、対象のプロセスの権限で任意のコードを実行できる恐れがあります。
• NVD の影響を受ける版の欄には、特定のコミット（b4b5aed…）が 1 件だけ載っており、リリース版の番号は示されていません。

数値と severity

• CVSS v3.0 は 8.1（HIGH）で、評価元は ZDI（Secondary）です。ベクターは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H で、ネットワークから、権限も利用者の操作も不要ですが、攻撃の難しさは高いとされています。
• NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証は不要ですが 9 に届かないため、severity は high とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• 参照先に修正のコミット（c9e8e18…）が示されています。libwebsockets を組み込んだ製品の提供元の更新を確かめ、修正を含む版に更新する。
• MQTT の機能を使っていないなら、ビルド設定で MQTT のクライアント・サーバーの機能が有効になっていないかを確かめ、使わなければ無効にする。
• MQTT のポートを外部に公開している場合は、信頼できる接続元に絞る。

未確認の点

• 修正を含むリリース版の番号と、影響を受ける版の範囲。
• 欠陥が、MQTT のクライアント側・サーバー側のどちらの処理にあるか。
• 実際に悪用されているか、規模はどの程度か。
• 概念実証（PoC）が公開されているか。
• 参照先の勧告・修正コミットの中身。本稿では開いていません。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-114550
• Zero Day Initiative: ZDI-26-792
• FIRST EPSS（CVE-2026-114550 はデータなし）