チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「WinRARって古いソフトだけど、まだ脆弱性が出るの？自動更新もないって知らなかった」
「.revファイルを開くだけでコード実行されるって、どうやって防げばいいの？」
チップスWinRARってまだ使っている会社も多いでしゅが、また脆弱性でしゅか！しかも自動更新がないって初耳でしゅ……
ボスWinRARは世界で5億人以上が利用する定番ツールだ。自動更新がないため、脆弱性が出てもユーザーが能動的に更新しない限り修正版は適用されない。これが長年の問題だ。
2026年7月、RARLAB社はWinRARの新たな脆弱性CVE-2026-14191を修正したバージョン7.23をリリースしました。
RAR5形式のリカバリボリューム（.revファイル）を処理する際にヒープ領域への境界外書き込みが発生し、リモートコード実行につながる可能性があります。
この記事では、脆弱性の仕組みと影響範囲、そして今すぐ取るべき対応を解説します。
CVE-2026-14191の技術的な仕組みと、組織内のWinRAR管理で見落としがちな盲点が理解できます。
オススメ案件
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
【大手物流サービスのAWSセキュリティ堅牢化・監視】品川シーサイド／AWS・インフラセキュリティ
【軽自動車関連システムの更改に伴う基盤・セキュリティ設計】豊洲／マルウェア対策・セキュリティ基盤
【公共SIEM環境の統合・再構築】豊洲／Splunkを用いた設計・構築・移行
【生命保険システムにおける内部監査・セキュリティ運用】多摩センター（リモート併用）／AWS・IAM
【Simbian製品全般の商用導入・カスタマーサポート（TAM）】都内（要確認）／セキュリティ製品導入支援・プロジェクト管理
【Identity Governanceの核となるSailPoint導入プロジェクト】宝町・京橋（基本リモート）／AWS・Linux・自社開発エンハンス
CVE-2026-14191は、RAR5フォーマットのリカバリボリューム（.revファイル）を解析するコードに存在するCWE-787（境界外書き込み）です。
2023年に発見された類似脆弱性CVE-2023-40477と同じコードブロックに潜んでいたことも分かっており、過去の修正が不完全だったことを示しています。
RAR5のリカバリボリューム（.rev）は、分割アーカイブの一部が欠損した際に修復に使うファイルです。
WinRARは最初の.revファイルを処理した際にRecItemsベクターのサイズを確定させます。
しかし、その後に処理する2枚目以降の.revファイルが持つRecNum値は、そのファイル自身のTotalCount値とは照合されるものの、実際のRecItemsのサイズとは比較されません。
この設計上の欠陥を利用すると、次の攻撃が可能になります。
攻撃を成立させるにはユーザーに修復・テスト操作を実行させる必要があります。
ただし、欠損した分割アーカイブを展開する際に自動リカバリが走る場合もあり、ユーザーが意図せず操作をトリガーするケースがあります。
チップス同じコードに2度目の脆弱性が見つかったんでしゅか？以前のパッチが不完全だったってことでしゅか？
ボスCVE-2023-40477と同じリカバリボリューム処理コードだ。完全な修正をしきれなかったか、修正が新たなバリエーションを生んだかのどちらかだ。ソフトウェアの特定コンポーネントに脆弱性が繰り返し発見されるのは珍しくない。問題は、WinRARが自動更新しないことで、ユーザー側に修正が届かないことだ。
WinRARには長年、自動更新機能が存在しません。
ChromeやWindowsと異なり、ユーザーが公式サイトからダウンロードして手動でインストールする必要があります。
このため、新しいバージョンが出ても旧バージョンを使い続けるユーザーが多く、脆弱性の影響が長期化しやすい構造になっています。
自動更新がないWinRARを組織で管理するには、能動的な対応が不可欠です。
IT担当者が今すぐ確認すべきポイントをまとめます。
対応の優先順位は以下のとおりです。
| 対応 | 方法・注意点 |
|---|---|
| バージョン確認 | WinRAR起動 → ヘルプ → バージョン情報で確認。7.22以前は対象 |
| 手動更新 | rarlab.com から WinRAR 7.23 をダウンロードしてインストール |
| 組織展開 | 資産管理ツールで旧バージョンを検出し、ソフトウェア配布で一括更新 |
| .revファイルの取り扱いポリシー | 外部からの.revファイルを開かないよう従業員に周知する |
チップスWinRARみたいに自動更新がないソフトって他にもありそうでしゅが、どう管理すればいいんでしゅか？
ボス資産管理ツールで「インストール済みソフトとバージョン」の棚卸しを定期実行することだ。脆弱性情報が出た際にすぐ影響範囲を把握できる。WinRARは特に日本で利用者が多いが、管理台帳から外れやすいツールでもある。
WinRARのような自動更新のないソフトウェアの管理には、以下の対応が有効です。
CVE-2026-14191は、WinRARのRAR5リカバリボリューム処理に潜む境界外書き込み脆弱性です。
細工された.revファイルセットを処理させることでRCEが可能になり、修正版はバージョン7.23で提供されています。
チップス社内のWinRARが何バージョンか今すぐ確認して、7.23に更新するでしゅ！
ボスそれが正解だ。自動更新のないソフトは、脆弱性情報が出た時だけ動くのでは遅い。定期的なバージョン棚卸しを仕組みとして持つことが、同種のリスクをまとめて減らす効率的な対策だ。
WinRARは世界5億人以上が利用する定番ツールだけに、攻撃者にとっても魅力的な標的です。
自動更新がない点を踏まえ、資産管理と脆弱性情報の連携を組織として仕組み化することが重要です。
オススメ案件
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
【大手物流サービスのAWSセキュリティ堅牢化・監視】品川シーサイド／AWS・インフラセキュリティ
【軽自動車関連システムの更改に伴う基盤・セキュリティ設計】豊洲／マルウェア対策・セキュリティ基盤
【公共SIEM環境の統合・再構築】豊洲／Splunkを用いた設計・構築・移行
【生命保険システムにおける内部監査・セキュリティ運用】多摩センター（リモート併用）／AWS・IAM
【Simbian製品全般の商用導入・カスタマーサポート（TAM）】都内（要確認）／セキュリティ製品導入支援・プロジェクト管理
【Identity Governanceの核となるSailPoint導入プロジェクト】宝町・京橋（基本リモート）／AWS・Linux・自社開発エンハンス
