「OpenSSL 4.0.2」など5つの系列をリリース ─ 最大11件の脆弱性を修正

　OpenSSL Projectは8月25日(現地時間)、「OpenSSL 4.0.2/3.6.4/3.5.8/3.4.7/3.0.22」をリリースした。

　「OpenSSL」は、TLS/SSLプロトコルや各種暗号化アルゴリズムを実装するオープンソースのライブラリおよびツールキット。Webサーバ、メールサーバ、VPN、ネットワークアプリケーションなどで広く利用されている。

　今回リリースされた5つのバージョンは、脆弱性の修正を中心としたリリースとなっている。最も深刻度が高い脆弱性は「Moderate」と評価されており、QUICサーバ、CMS、Certificate Management Protocol(CMP)、DTLS、OCSP、AEAD暗号などに関する問題が修正されている。

　修正される脆弱性の数は系列によって異なり、「4.0.2」と「3.6.4」では11件、「3.5.8」では10件、「3.4.7」では8件、「3.0.22」では5件となる。

　今回のリリースのハイライトは次の通り。
〇QUIC INITIALパケットの処理で二重解放が発生する脆弱性を修正(Moderate、CVE-2026-18798)
〇CMSの鍵アンラップ処理でヒープ境界外書き込みが発生する脆弱性を修正(Moderate、CVE-2026-63072)
〇CMPのprotectionAlg処理で不正なポインタを参照する脆弱性を修正(Moderate、CVE-2026-63076)
〇QUICサーバの着信チャネルキューが無制限に拡大する問題を修正(Low、CVE-2026-14456)
〇Raw Public Key利用時に証明書のNULLポインタ参照が発生する問題を修正(Low、CVE-2026-14457)
〇DTLSの将来エポックに属するレコードによって過剰なメモリが消費される問題を修正(Low、CVE-2026-54874)
〇OCSPレスポンス検証時にメモリリークが発生する問題を修正(Low、CVE-2026-54876)
〇CMPレスポンスの送信者DNが書式文字列として扱われる問題を修正(Low、CVE-2026-63073)
〇CMPのextraCertsキャッシュが無制限に拡大する問題を修正(Low、CVE-2026-63074)
〇QUICのACK-onlyパケット情報が保持され続ける問題を修正(Low、CVE-2026-63075)
〇空の暗号文をEVP_Cipher()で復号した際にAEAD認証タグが検証されない問題を修正(Low、CVE-2026-75803)
〇空の暗号文に対するCCM認証タグの検証処理を修正
など。

　なお、OpenSSL 1.1.1および1.0.2系列については、影響を受ける脆弱性に対応した「OpenSSL 1.1.1zi」と「OpenSSL 1.0.2zr」がPremium Support契約者向けに提供される。また、OpenSSL 3.0系列は2026年9月7日、3.4系列は2026年10月22日、3.6系列は2026年11月1日にサポート終了を迎える予定。これらの系列を利用している場合は、今回のセキュリティアップデートだけでなく、サポートが継続する系列への移行も検討する必要がある。

　「OpenSSL 4.0.2/3.6.4/3.5.8/3.4.7/3.0.22」は、Webサイトから入手できる。

(川原 龍人/びぎねっと)

[関連リンク]
リリース(OpenSSL 4.0.2)
リリース(OpenSSL 3.6.4)
リリース(OpenSSL 3.5.8)
リリース(OpenSSL 3.4.7)
リリース(OpenSSL 3.0.22)
OpenSSL Security Advisory