Pixar OpenUSD で USDC・USDZ ファイルの解析時に二重解放、細工したファイルでコード実行のおそれ（CVE-2026-92211）: CVSS v3.0 7.8、開く操作が必要、影響版は未確認

Pixar Animation Studio の OpenUSD に、USDC・USDZ ファイルの解析時の二重解放（CWE-415）があるとして、CVE-2026-92211 が 2026-11-04 に NVD に登録されました。登録元は Trend Micro の Zero Day Initiative（ZDI-26-791、管理番号 ZDI-CAN-30428）です。

何が起きるか

• NVD の記載によると、細工した USDC（Crate 形式）または USDZ ファイルを OpenUSD で解析すると、存在を確かめずにオブジェクトを解放する処理が働き、同じ領域が二重に解放されます。
• 攻撃者はこれを使い、解析した側のプロセスの権限でコードを実行できるおそれがあります。
• 悪用には、利用者が細工したファイルを開く、あるいは取り込む操作が必要です（UI:R）。OpenUSD は 3D 制作・ゲーム・映像・デジタルツインなどのツールが組み込んで使うため、攻撃経路は組み込み先の使い方によって変わると NVD は説明しています。

影響を受ける版

• 影響を受ける版の範囲は NVD の登録時点では示されておらず、未確認です。
• NVD の参照に、OpenUSD リポジトリの修正コミット（7c62a43）があります。どの版に取り込まれたかは未確認です。

数値と severity

• CVSS v3.0 は 7.8（HIGH）で、ベクターは AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H です。評価元は ZDI です。
• 攻撃元がローカル（ファイルを開く操作）で利用者の操作が必要なため、severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• OpenUSD を使うツール・パイプラインの開発元や配布元の更新情報を確認し、修正コミットを含む版へ更新してください。
• 更新までの間は、出所の分からない USDC・USDZ ファイルを開かない、取り込まないでください。外部から受け取る 3D アセットを自動で処理している環境は、サンドボックスで実行するなどして影響を抑えてください。

未確認の点

• 影響を受ける版の範囲と、修正を含む版。
• 実際に悪用が可能かどうか、悪用の有無、攻撃コードの流通。
• ZDI の勧告の詳しい内容（未開封）。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-92211
• ZDI-26-791（NVD の参照先。未開封）
• OpenUSD 修正コミット 7c62a43（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）