--- title: "libwebsockets の MQTT PUBACK 処理で境界外書き込み（CVE-2026-114550）: CVSS v3.0 8.1、認証不要で任意コード実行の恐れ、修正版は未確認" url: https://n-t-p.io/worldsecurity/articles/libwebsockets-mqtt-puback-out-of-bounds-write-cve-2026-114550 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月4日 updated: 2026年11月4日 severity: 高 cve: CVE-2026-114550 --- # libwebsockets の MQTT PUBACK 処理で境界外書き込み（CVE-2026-114550）: CVSS v3.0 8.1、認証不要で任意コード実行の恐れ、修正版は未確認 > **TL;DR:** libwebsockets の MQTT PUBACK 処理で、バッファの終わりを越えて書き込む欠陥（CVE-2026-114550、CWE-787、CVSS v3.0 8.1）。認証なしでリモートからコード実行の恐れがあるとされる。修正のコミットが示されているが、リリース版は未確認。KEV 未掲載、EPSS はデータなし。悪用の有無は未確認。 **要点** - libwebsockets の MQTT PUBACK パケットの処理に、確保したバッファを越えて書き込む欠陥がある（CVE-2026-114550、CWE-787）。 - CVSS v3.0 は 8.1（AV:N・AC:H・PR:N、評価元 ZDI）。NVD の状態は Received で、NVD の評価はまだない。 - 認証なしのリモートの攻撃者が、対象プロセスの権限でコードを実行できる恐れがある。修正のコミットが示されているが、リリース版の番号は未確認。 - KEV には載っておらず、EPSS はデータなし。 - 悪用の有無・PoC・影響を受ける版の範囲は未確認。 libwebsockets（C 言語の軽量な WebSocket・HTTP・MQTT ライブラリ）の MQTT の PUBACK パケットの処理に、確保したバッファの終わりを越えて書き込む欠陥（CWE-787）があるとして、CVE-2026-114550 が 2026-11-04 に NVD に登録されました。届け出は Trend Micro の Zero Day Initiative（ZDI-26-792、管理番号 ZDI-CAN-31039）です。 ## 何が起きるか - 欠陥があるのは、MQTT プロトコルの PUBACK（メッセージ受信の確認応答）パケットを扱う処理です。 - 利用者が与えたデータを十分に検証しないため、確保したバッファの終わりを越えて書き込めます。 - 説明によると、リモートの攻撃者が、認証なしで、対象のプロセスの権限で任意のコードを実行できる恐れがあります。 - NVD の影響を受ける版の欄には、特定のコミット（b4b5aed…）が 1 件だけ載っており、リリース版の番号は示されていません。 ## 数値と severity - CVSS v3.0 は 8.1（HIGH）で、評価元は ZDI（Secondary）です。ベクターは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H で、ネットワークから、権限も利用者の操作も不要ですが、攻撃の難しさは高いとされています。 - NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。 - 認証は不要ですが 9 に届かないため、severity は high とします。 - FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。 ## 対策 - 参照先に修正のコミット（c9e8e18…）が示されています。libwebsockets を組み込んだ製品の提供元の更新を確かめ、修正を含む版に更新する。 - MQTT の機能を使っていないなら、ビルド設定で MQTT のクライアント・サーバーの機能が有効になっていないかを確かめ、使わなければ無効にする。 - MQTT のポートを外部に公開している場合は、信頼できる接続元に絞る。 ## 未確認の点 - 修正を含むリリース版の番号と、影響を受ける版の範囲。 - 欠陥が、MQTT のクライアント側・サーバー側のどちらの処理にあるか。 - 実際に悪用されているか、規模はどの程度か。 - 概念実証（PoC）が公開されているか。 - 参照先の勧告・修正コミットの中身。本稿では開いていません。 - NVD の最終評価と EPSS。 ## 出典 - NVD: CVE-2026-114550 - Zero Day Initiative: ZDI-26-792 - FIRST EPSS（CVE-2026-114550 はデータなし） ## 出典 - [NVD CVE-2026-114550](https://nvd.nist.gov/vuln/detail/CVE-2026-114550) — NIST NVD - [ZDI-26-792](https://www.zerodayinitiative.com/advisories/ZDI-26-792/) — Zero Day Initiative - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-114550) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/libwebsockets-mqtt-puback-out-of-bounds-write-cve-2026-114550