目次（6）
CVE-2026-120438
CVE-2026-120439
NVD は 2026-11-02 に、組み込み向け JavaScript エンジン QuickJS-NG の脆弱性 2 件（CVE-2026-120438・120439）を登録しました。どちらも 0.16.0 より前の版で、割り当てサイズの計算が整数オーバーフローし、32 ビット環境でヒープバッファオーバーフローが起きます。細工した JavaScript を実行できる攻撃者が、クラッシュや、場合によってはコード実行を狙える可能性があると記載されています。CVSS v3.1 は 7.8 と 7.0 です。
概要
| CVE | 箇所 | 問題 | CWE | CVSS v3.1 / v4.0 |
|---|---|---|---|---|
| CVE-2026-120438 | js_proxy_get_own_property_names() | Proxy の ownKeys トラップが大きな配列風オブジェクトを返すと、割り当てサイズが桁あふれしてヒープバッファが溢れる | CWE-190 | 7.8（AV:L/AC:L/PR:L/UI:N/C:H/I:H/A:H）/ 8.5 |
| CVE-2026-120439 | js_typed_array_sort() | 約 2^30 要素の型付き配列にコンパレーター付きで sort を呼ぶと、割り当てサイズが桁あふれし、バッファの外にインデックスが書かれる | CWE-190 | 7.0（AV:N/AC:H/PR:N/UI:N/C:L/I:L/A:H）/ 8.3 |
- 対象は QuickJS-NG の 0.16.0 より前（NVD の参照には v0.15.1 のソースが挙がっています）。
- どちらも 32 ビットのホストで起きると記載されています。64 ビット環境での影響は NVD には書かれておらず、未確認です。
- 数値は VulnCheck が付与しています。NVD 公開日は 2026-11-02 です。
影響範囲
- QuickJS-NG は、アプリケーションに JavaScript の実行機能を組み込むために使われる小型のエンジンです。信頼できないスクリプトを実行する製品（プラグイン・拡張・サーバー側スクリプトなど）が、32 ビットのビルドで古い版を使っていると影響を受けます。
- 120438 は、スクリプトを実行できる低権限の利用者（PR:L）による、ローカル扱い（AV:L）の攻撃です。機密性・完全性・可用性の影響がいずれも高（H）とされています。
- 120439 は、攻撃経路がネットワーク（AV:N）で認証不要（PR:N）ですが、攻撃条件の複雑さが高（AC:H）です。機密性・完全性への影響は低、可用性への影響が高とされています。
- 実際にコード実行まで到達できるかは NVD に断定的な記載がなく、確認できていません。
修正
0.16.0 で修正されています。NVD の参照には、リリース v0.16.0 のページと、各 CVE の修正コミット（120438 は 252209d、120439 は e93cca6）、GitHub のセキュリティ勧告（GHSA-jp52-chwg-2p9p、GHSA-9wv5-5cgr-grj6）が挙がっています。QuickJS-NG を取り込んでいる製品・ディストリビューションのパッケージの修正状況は、確認できていません。
利用者がとれる対策
- 自社の製品や依存関係で QuickJS-NG を使っているかを確認し、使っていれば 0.16.0 以降へ更新する。
- 更新できない間は、信頼できないスクリプトを QuickJS-NG で実行しない、または 32 ビットのビルドを避ける。
- 実行できるスクリプトの大きさ・メモリ量に上限を設ける。
数値と出典（2026-11-03 時点）
| 項目 | 内容 |
|---|---|
| NVD の状態 | 2 件とも Awaiting Analysis（NVD 自身の分析は未実施） |
| CVSS v3.1 | 120438 は 7.8（HIGH）、120439 は 7.0（HIGH） |
| CVSS v4.0 | 120438 は 8.5、120439 は 8.3 |
| EPSS | 2 件とも未算定（FIRST、2026-11-03 時点） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、VulnCheck、QuickJS-NG のリリースと勧告、FIRST、CISA |
未確認の点
- 悪用の有無（KEV 掲載なし、EPSS は未算定で、公開された攻撃コードは確認できていません）。
- 64 ビット環境への影響。
- 実際のコード実行の成否。
- QuickJS-NG を組み込んだ個別製品・ディストリビューションの修正状況。
- NVD による分析結果（現在は未分析）。
この記事について
- 執筆・編集
- World Security 編集部
出典
- NVD CVE-2026-120438（NIST NVD）
- NVD CVE-2026-120439（NIST NVD）
- VulnCheck 勧告（Proxy ownKeys）（VulnCheck）
- VulnCheck 勧告（TypedArray sort）（VulnCheck）
- QuickJS-NG v0.16.0 リリース（QuickJS-NG）
- FIRST EPSS（FIRST）
- CISA KEV カタログ（CISA）
