---
title: "Pixar OpenUSD で USDC・USDZ ファイルの解析時に二重解放、細工したファイルでコード実行のおそれ（CVE-2026-92211）: CVSS v3.0 7.8、開く操作が必要、影響版は未確認"
url: https://n-t-p.io/worldsecurity/articles/openusd-crate-file-parsing-double-free-cve-2026-92211
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-92211
---

# Pixar OpenUSD で USDC・USDZ ファイルの解析時に二重解放、細工したファイルでコード実行のおそれ（CVE-2026-92211）: CVSS v3.0 7.8、開く操作が必要、影響版は未確認

> **TL;DR:** Pixar OpenUSD の USDC・USDZ 解析に二重解放（CVE-2026-92211、CWE-415、CVSS v3.0 7.8）。細工したファイルを開く操作が前提（UI:R）で、解析した側の権限でコード実行のおそれ。修正コミットは公開済みだが影響版・修正版は未確認。KEV 未掲載、EPSS データなし。

**要点**
- OpenUSD の USDC・USDZ 解析で二重解放（CVE-2026-92211）。細工したファイルでコード実行のおそれ。
- CVSS v3.0 は 7.8（ZDI 評価）。ローカルで利用者がファイルを開く操作が前提（UI:R）。NVD の状態は Received。
- 出所不明の USDC・USDZ を開かず、修正コミット（7c62a43）を含む版への更新を確認。影響版は未確認。
- 悪用の有無は未確認。KEV には載っておらず、EPSS はデータなし。

Pixar Animation Studio の OpenUSD に、USDC・USDZ ファイルの解析時の二重解放（CWE-415）があるとして、CVE-2026-92211 が 2026-11-04 に NVD に登録されました。登録元は Trend Micro の Zero Day Initiative（ZDI-26-791、管理番号 ZDI-CAN-30428）です。

## 何が起きるか
- NVD の記載によると、細工した USDC（Crate 形式）または USDZ ファイルを OpenUSD で解析すると、存在を確かめずにオブジェクトを解放する処理が働き、同じ領域が二重に解放されます。
- 攻撃者はこれを使い、解析した側のプロセスの権限でコードを実行できるおそれがあります。
- 悪用には、利用者が細工したファイルを開く、あるいは取り込む操作が必要です（UI:R）。OpenUSD は 3D 制作・ゲーム・映像・デジタルツインなどのツールが組み込んで使うため、攻撃経路は組み込み先の使い方によって変わると NVD は説明しています。

## 影響を受ける版
- 影響を受ける版の範囲は NVD の登録時点では示されておらず、未確認です。
- NVD の参照に、OpenUSD リポジトリの修正コミット（7c62a43）があります。どの版に取り込まれたかは未確認です。

## 数値と severity
- CVSS v3.0 は 7.8（HIGH）で、ベクターは AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H です。評価元は ZDI です。
- 攻撃元がローカル（ファイルを開く操作）で利用者の操作が必要なため、severity は high とします。
- NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

## 対策
- OpenUSD を使うツール・パイプラインの開発元や配布元の更新情報を確認し、修正コミットを含む版へ更新してください。
- 更新までの間は、出所の分からない USDC・USDZ ファイルを開かない、取り込まないでください。外部から受け取る 3D アセットを自動で処理している環境は、サンドボックスで実行するなどして影響を抑えてください。

## 未確認の点
- 影響を受ける版の範囲と、修正を含む版。
- 実際に悪用が可能かどうか、悪用の有無、攻撃コードの流通。
- ZDI の勧告の詳しい内容（未開封）。
- NVD の最終評価と EPSS。

## 出典
- NVD: CVE-2026-92211
- ZDI-26-791（NVD の参照先。未開封）
- OpenUSD 修正コミット 7c62a43（NVD の参照先。未開封）
- FIRST EPSS（データなし）、CISA KEV（掲載なし）


## 出典
- [NVD CVE-2026-92211](https://nvd.nist.gov/vuln/detail/CVE-2026-92211) — NIST NVD
- [ZDI-26-791（未開封）](https://www.zerodayinitiative.com/advisories/ZDI-26-791/) — Zero Day Initiative
- [OpenUSD 修正コミット 7c62a43（未開封）](https://github.com/PixarAnimationStudios/OpenUSD/commit/7c62a43d8823dd4e1ef8c49fc1d72729e1ce6e36) — Pixar Animation Studios

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/openusd-crate-file-parsing-double-free-cve-2026-92211