NoMachine の Web サービス（nxwebrunner）にヒープのバッファーオーバーフロー（CVE-2026-114549）: CVSS v3.0 9.8、認証不要でコード実行の恐れ、修正版は未確認

NoMachine（リモートデスクトップ製品）の Web サービス「nxwebrunner」に、ヒープ領域のバッファーオーバーフロー（CWE-122）があるとして、CVE-2026-114549 が 2026-11-04 に NVD に登録されました。届け出は Trend Micro の Zero Day Initiative（ZDI-26-786、管理番号 ZDI-CAN-30685）です。

何が起きるか

• 欠陥があるのは、NoMachine の Web サービスです。既定では TCP 4443 番ポートで待ち受けます。
• 利用者が渡したデータの長さを十分に確かめないまま、ヒープ上のバッファに複製するため、領域あふれが起きます。
• 説明によると、リモートの攻撃者が、認証なしで、サービスアカウントの権限で任意のコードを実行できる恐れがあります。
• NVD の影響を受ける版の欄には、NoMachine 9.7.3 が載っています。ほかの版は「不明」とされ、範囲は分かっていません。

数値と severity

• CVSS v3.0 は 9.8（CRITICAL）で、評価元は ZDI（Secondary）です。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、ネットワークから、権限も利用者の操作も不要です。
• NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• 提供元（NoMachine）の案内を確かめ、修正版が出ていれば更新する。修正版の有無は本稿では確認していません。
• Web サービスを使っていない場合は、TCP 4443 番ポートを外部に開けない。
• 使う場合は、ファイアウォールや VPN で、信頼できる接続元だけに絞る。
• 4443 番ポートへの不審な接続やサービスの異常終了がないか、ログを確かめる。

未確認の点

• 修正版の有無と番号。9.7.3 以外の版が影響を受けるか。
• 実際に悪用されているか、規模はどの程度か。
• 概念実証（PoC）が公開されているか。
• 参照先の勧告（ZDI-26-786）の中身。本稿では開いていません。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-114549
• Zero Day Initiative: ZDI-26-786
• FIRST EPSS（CVE-2026-114549 はデータなし）