Scribus 1.6.6 以前の画像ローダー・取り込みフィルターに 7 件のメモリ安全性の欠陥（CVE-2026-104061 ほか）: 細工したファイルで異常終了、コード実行のおそれ。1.6.7 で修正

NVD は 2026-10-30 に、オープンソースのDTP（組版）ソフト「Scribus」の CVE-2026-104061 から CVE-2026-104067 までの 7 件を登録しました。1.6.7 より前の版では、PSD・PICT・TIFF・DRW・SVM 形式のファイルを読み込む処理が、ファイル内の寸法やオフセットの値を検証せずに使います。細工したファイルを画像枠に配置するか取り込むと、メモリの範囲外への読み書きが起き、Scribus が異常終了するか、利用者の権限でコードが実行されるおそれがあります。登録元（CNA）は VulnCheck です。1.6.7 で 7 件とも修正されています。

何が起きるか

• 攻撃には、利用者が細工したファイルを開く（配置または取り込む）操作が必要です。ネットワークから直接は攻撃できず、CVSS の攻撃元区分はローカル、利用者の操作は必須です。
• 7 件の内訳は次のとおりです。

CVE	対象	内容	CWE	CVSS v3.1
CVE-2026-104061	PSD ローダー	検証されない値を配列の添字に使い、ヒープに書き込む	CWE-787	7.8
CVE-2026-104062	PICT ローダー・取り込み	行あたりバイト数が画像幅と合わず、ヒープがあふれる	CWE-787	7.8
CVE-2026-104063	PICT ローダー・取り込み	平面形式の画素データで範囲外を読む（クラッシュまたはヒープ内容の漏えい）	CWE-125	6.1
CVE-2026-104064	TIFF ローダー	タイルの大きさの整数あふれから、ヒープに書き込む	CWE-190	7.8
CVE-2026-104065	DRW（Micrografx Draw）取り込み	検証されない縦のオフセットで、バッファの外に書き込む	CWE-787	7.8
CVE-2026-104066	PICT ローダー・取り込み	4 ビット索引画像の展開で、範囲外に書き込む	CWE-787	7.8
CVE-2026-104067	SVM 取り込み	画像とマスクの寸法の不一致で、ヒープの読み書きが起きる	CWE-787	7.8

• 影響は、機密性・完全性・可用性とも高い（6 件）か、機密性が低で可用性が高い（CVE-2026-104063）とされています。コード実行は「可能性がある」という扱いで、実際に成功する条件は確認していません。
• 実際の悪用は確認していません。具体的なファイルの作り方は載せません。

修正の状況

• Scribus 1.6.7 の公式リリースノート（Scribus Wiki）に、7 件の修正が明記されています。各ローダーが、ファイルから読んだ寸法とオフセットを使う前に検証するようになった、との説明です。
• 各 CVE の修正コミットは、公式リポジトリに 5 つあります（PSD、PICT 3 件分で共通の 1 つ、TIFF、DRW、SVM）。
• 1.6.7 の公開日は、Wiki のページから読み取れていません。回避策は確認できていません。

数値と出典（2026-11-01 時点）

項目	内容
CVE	CVE-2026-104061 〜 CVE-2026-104067（7 件）
影響版	Scribus 1.6.7 より前
修正版	1.6.7
CVSS v3.1	6.1〜7.8（7.8 が 6 件、6.1 が 1 件）。いずれも VulnCheck（CNA）の値
CVSS v4.0	8.5（6 件）、6.9（CVE-2026-104063）。いずれも VulnCheck（CNA）の値
NVD の状態	Deferred（NVD 自身の評価は未実施）
EPSS	0.17%〜0.21%（パーセンタイル 6.4%〜11.5%、2026-10-31、FIRST）。公開から日が浅く、まだ低い値
KEV	掲載なし（CISA の JSON、カタログ版 2026.10.30 で確認）

severity を high とした理由

CVSS v3.1 は最大 7.8 で、成功すれば利用者の権限でコードが実行されるおそれがあります。一方で、細工したファイルを利用者が開く必要があり、ローカル経由で、EPSS は低く、KEV にも載っておらず、修正版が出ています。critical にはせず、high としました。

対応として考えられること

1. Scribus 1.6.x を使っている場合は、1.6.7 に更新します。Linux ディストリビューションのパッケージの場合は、配布元が 1.6.7 の修正を取り込んだかを確認します。
2. 更新までの間は、出どころの分からない PSD・PICT・TIFF・DRW・SVM ファイルを Scribus で開かない・配置しないことが考えられます（推定。効果は確認していません）。
3. 入稿データを外部から受け取る運用では、受け取ったファイルの形式を限定し、変換用の別環境で先に開くことを検討します（推定）。

未確認の点

• 実際の悪用は確認していません。コード実行が現実の環境で成功する条件も確認していません。
• 1.6.7 の公開日と、各ディストリビューションのパッケージの対応状況は確認できていません。
• 1.6.6 より前の版が、どこまで同じ欠陥を持つかは、「1.6.7 より前」という記載以上には確認できていません。
• NVD 自身の評価は未実施（Deferred）です。CVSS は VulnCheck（CNA）の値です。