OpenSSLに高危険度脆弱性CVE-2026-45447、Claude（AI）が発見に貢献

「OpenSSLって、ほぼ全部のサーバで使ってるやつでしゅよね？それに穴があったら、どこから手をつければいいんでしゅか……」
「しかも今回はAIが見つけたって聞いて、攻撃も防御もAI任せになっていくのか不安なんでしゅ」

チップス

暗号の土台みたいなライブラリでしゅよね。そこが壊れたら、もう打つ手なしじゃないでしゅか……。

ボス

落ち着け、チップス。今回はメール署名の検証まわりに限った穴だ。仕組みと対象を押さえれば、慌てず塞げるぞ。ふふふ。

本記事では、OpenSSLが修正した高危険度の脆弱性CVE-2026-45447について、何が危ないのか、そしてAIが発見に関わった意味を整理します。

読み終える頃には、影響範囲の見極め方と、AIが脆弱性発見に入ってくる時代の向き合い方が手に入ります。

OpenSSL脆弱性CVE-2026-45447の概要

まずは何が修正され、どこまで影響するのかを整理します。

署名検証に潜んでいた解放後メモリ参照

問題は、PKCS#7やS/MIME形式の署名付きメッセージを検証する関数PKCS7_verifyにあります。
特定の細工をしたメッセージを処理させると、呼び出し側が管理しているメモリ領域を誤って解放し、その後に参照してしまう解放後メモリ参照（use-after-free）が起きます。
結果としてアプリケーションのクラッシュやメモリ破壊につながり、条件次第では遠隔コード実行に至る恐れもあります。
OpenSSLはこの脆弱性を高危険度（High）と評価し、実環境での悪用は現時点で確認されていません。

影響範囲のポイントは以下のとおりです。

チップス

署名を確かめるだけの処理が、逆に攻撃の入り口になるんでしゅか……。

ボス

そうだ。受け取った署名を検証する側が標的になる。だが古いPKCS#7 APIを使う実装に限られるから、自社がどちらを使っているかを見極めるのが先決だな。

AIが発見に関わった意味と取るべき対応

なぜ今回の発見がAI時代の節目として語られるのかを掘り下げます。

AIが見つけ、人が直す時代の入り口

今回の脆弱性は、AnthropicのAI「Claude」と研究者の協働で見つかった点が注目されました。
OpenSSLが同時に公開した複数の不具合のうち、相当数でAnthropicの研究者が発見者やクレジット対象になっています。
長年枯れたとされてきた暗号ライブラリの深部から、AIが人の見落としを拾い上げた形です。
守る側がAIを使えるなら、攻める側も同じ武器を手にすると考え、パッチ適用の速さで先手を取る姿勢が欠かせません。

現場で取るべき対応は次のとおりです。

チップス

AIが見つけてくれるなら心強いでしゅ！でも、その分こっちも早く直さないといけないんでしゅね。

ボス

そのとおりだ。発見が速くなれば、悪用までの猶予も短くなる。バージョン管理を日頃から整えておく者が生き残るのだ。

まとめ：枯れた基盤こそ早く更新する

CVE-2026-45447は、OpenSSLのPKCS#7署名検証に潜んだ高危険度の解放後メモリ参照で、条件次第では遠隔コード実行につながります。
実環境での悪用は未確認ですが、AIの助けで発見が速まる今は、攻撃者が動く前に塞げるかどうかが分かれ目です。
まずは自社で使うOpenSSLのバージョンを把握し、修正版への更新を着実に進めてください。
こうした脆弱性管理やインシデント対応の最前線で力を試したい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。

参考: ITmedia @IT「OpenSSLに高危険度の脆弱性 CVE-2026-45447」