チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「WinRARって古いソフトだけど、まだ脆弱性が出るの？自動更新もないって知らなかった」
「.revファイルを開くだけでコード実行されるって、どうやって防げばいいの？」
チップスWinRARってまだ使っている会社も多いでしゅが、また脆弱性でしゅか！しかも自動更新がないって初耳でしゅ……
ボスWinRARは世界で5億人以上が利用する定番ツールだ。自動更新がないため、脆弱性が出てもユーザーが能動的に更新しない限り修正版は適用されない。これが長年の問題だ。
2026年7月、RARLAB社はWinRARの新たな脆弱性CVE-2026-14191を修正したバージョン7.23をリリースしました。
RAR5形式のリカバリボリューム（.revファイル）を処理する際にヒープ領域への境界外書き込みが発生し、リモートコード実行につながる可能性があります。
この記事では、脆弱性の仕組みと影響範囲、そして今すぐ取るべき対応を解説します。
CVE-2026-14191の技術的な仕組みと、組織内のWinRAR管理で見落としがちな盲点が理解できます。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
CVE-2026-14191は、RAR5フォーマットのリカバリボリューム（.revファイル）を解析するコードに存在するCWE-787（境界外書き込み）です。
2023年に発見された類似脆弱性CVE-2023-40477と同じコードブロックに潜んでいたことも分かっており、過去の修正が不完全だったことを示しています。
RAR5のリカバリボリューム（.rev）は、分割アーカイブの一部が欠損した際に修復に使うファイルです。
WinRARは最初の.revファイルを処理した際にRecItemsベクターのサイズを確定させます。
しかし、その後に処理する2枚目以降の.revファイルが持つRecNum値は、そのファイル自身のTotalCount値とは照合されるものの、実際のRecItemsのサイズとは比較されません。
この設計上の欠陥を利用すると、次の攻撃が可能になります。
攻撃を成立させるにはユーザーに修復・テスト操作を実行させる必要があります。
ただし、欠損した分割アーカイブを展開する際に自動リカバリが走る場合もあり、ユーザーが意図せず操作をトリガーするケースがあります。
チップス同じコードに2度目の脆弱性が見つかったんでしゅか？以前のパッチが不完全だったってことでしゅか？
ボスCVE-2023-40477と同じリカバリボリューム処理コードだ。完全な修正をしきれなかったか、修正が新たなバリエーションを生んだかのどちらかだ。ソフトウェアの特定コンポーネントに脆弱性が繰り返し発見されるのは珍しくない。問題は、WinRARが自動更新しないことで、ユーザー側に修正が届かないことだ。
WinRARには長年、自動更新機能が存在しません。
ChromeやWindowsと異なり、ユーザーが公式サイトからダウンロードして手動でインストールする必要があります。
このため、新しいバージョンが出ても旧バージョンを使い続けるユーザーが多く、脆弱性の影響が長期化しやすい構造になっています。
自動更新がないWinRARを組織で管理するには、能動的な対応が不可欠です。
IT担当者が今すぐ確認すべきポイントをまとめます。
対応の優先順位は以下のとおりです。
| 対応 | 方法・注意点 |
|---|---|
| バージョン確認 | WinRAR起動 → ヘルプ → バージョン情報で確認。7.22以前は対象 |
| 手動更新 | rarlab.com から WinRAR 7.23 をダウンロードしてインストール |
| 組織展開 | 資産管理ツールで旧バージョンを検出し、ソフトウェア配布で一括更新 |
| .revファイルの取り扱いポリシー | 外部からの.revファイルを開かないよう従業員に周知する |
チップスWinRARみたいに自動更新がないソフトって他にもありそうでしゅが、どう管理すればいいんでしゅか？
ボス資産管理ツールで「インストール済みソフトとバージョン」の棚卸しを定期実行することだ。脆弱性情報が出た際にすぐ影響範囲を把握できる。WinRARは特に日本で利用者が多いが、管理台帳から外れやすいツールでもある。
WinRARのような自動更新のないソフトウェアの管理には、以下の対応が有効です。
CVE-2026-14191は、WinRARのRAR5リカバリボリューム処理に潜む境界外書き込み脆弱性です。
細工された.revファイルセットを処理させることでRCEが可能になり、修正版はバージョン7.23で提供されています。
チップス社内のWinRARが何バージョンか今すぐ確認して、7.23に更新するでしゅ！
ボスそれが正解だ。自動更新のないソフトは、脆弱性情報が出た時だけ動くのでは遅い。定期的なバージョン棚卸しを仕組みとして持つことが、同種のリスクをまとめて減らす効率的な対策だ。
WinRARは世界5億人以上が利用する定番ツールだけに、攻撃者にとっても魅力的な標的です。
自動更新がない点を踏まえ、資産管理と脆弱性情報の連携を組織として仕組み化することが重要です。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
