---
title: "NoMachine の Web サービス（nxwebrunner）にヒープのバッファーオーバーフロー（CVE-2026-114549）: CVSS v3.0 9.8、認証不要でコード実行の恐れ、修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/nomachine-nxwebrunner-heap-overflow-cve-2026-114549
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月4日
updated: 2026年11月4日
severity: 緊急
cve: CVE-2026-114549
---

# NoMachine の Web サービス（nxwebrunner）にヒープのバッファーオーバーフロー（CVE-2026-114549）: CVSS v3.0 9.8、認証不要でコード実行の恐れ、修正版は未確認

> **TL;DR:** NoMachine の Web サービス（nxwebrunner、既定 TCP 4443）に、ヒープのバッファーオーバーフローがある（CVE-2026-114549、CWE-122、CVSS v3.0 9.8）。認証なしでリモートからコード実行の恐れがあるとされる。影響版として 9.7.3 が載っているが、修正版は未確認。KEV 未掲載、EPSS はデータなし。悪用の有無は未確認。

**要点**
- NoMachine の Web サービス（既定 TCP 4443）にヒープのバッファーオーバーフローがある（CVE-2026-114549、CWE-122）。
- CVSS v3.0 は 9.8（AV:N・AC:L・PR:N、評価元 ZDI）。NVD の状態は Received で、NVD の評価はまだない。
- 認証なしのリモートの攻撃者が、サービスアカウントの権限でコードを実行できる恐れがある。影響版は 9.7.3 が載っているが、修正版は未確認。
- KEV には載っておらず、EPSS はデータなし。
- 悪用の有無・PoC・ほかの版への影響は未確認。

NoMachine（リモートデスクトップ製品）の Web サービス「nxwebrunner」に、ヒープ領域のバッファーオーバーフロー（CWE-122）があるとして、CVE-2026-114549 が 2026-11-04 に NVD に登録されました。届け出は Trend Micro の Zero Day Initiative（ZDI-26-786、管理番号 ZDI-CAN-30685）です。

## 何が起きるか
- 欠陥があるのは、NoMachine の Web サービスです。既定では TCP 4443 番ポートで待ち受けます。
- 利用者が渡したデータの長さを十分に確かめないまま、ヒープ上のバッファに複製するため、領域あふれが起きます。
- 説明によると、リモートの攻撃者が、認証なしで、サービスアカウントの権限で任意のコードを実行できる恐れがあります。
- NVD の影響を受ける版の欄には、NoMachine 9.7.3 が載っています。ほかの版は「不明」とされ、範囲は分かっていません。

## 数値と severity
- CVSS v3.0 は 9.8（CRITICAL）で、評価元は ZDI（Secondary）です。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、ネットワークから、権限も利用者の操作も不要です。
- NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
- 認証が不要で CVSS が 9 以上のため、severity は critical とします。
- FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

## 対策
- 提供元（NoMachine）の案内を確かめ、修正版が出ていれば更新する。修正版の有無は本稿では確認していません。
- Web サービスを使っていない場合は、TCP 4443 番ポートを外部に開けない。
- 使う場合は、ファイアウォールや VPN で、信頼できる接続元だけに絞る。
- 4443 番ポートへの不審な接続やサービスの異常終了がないか、ログを確かめる。

## 未確認の点
- 修正版の有無と番号。9.7.3 以外の版が影響を受けるか。
- 実際に悪用されているか、規模はどの程度か。
- 概念実証（PoC）が公開されているか。
- 参照先の勧告（ZDI-26-786）の中身。本稿では開いていません。
- NVD の最終評価と EPSS。

## 出典
- NVD: CVE-2026-114549
- Zero Day Initiative: ZDI-26-786
- FIRST EPSS（CVE-2026-114549 はデータなし）


## 出典
- [NVD CVE-2026-114549](https://nvd.nist.gov/vuln/detail/CVE-2026-114549) — NIST NVD
- [ZDI-26-786](https://www.zerodayinitiative.com/advisories/ZDI-26-786/) — Zero Day Initiative
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-114549) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/nomachine-nxwebrunner-heap-overflow-cve-2026-114549