情報取得日: 2026/07/13／最終確認: 2026/09/09・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-40469 |
|---|---|
| 製品 | GNU / gawk（GNU awk） |
| CVSS | 9.1（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H |
| 種別 (CWE) | CWE-190 整数オーバーフロー |
| 登録／公開日 | 2026/07/13 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-40469 |
gawk の builtin.c にある do_sub()（sub / gsub の実装）に整数オーバーフローがあり、ヒープのメタデータやオブジェクトを上書きしてプログラムをクラッシュさせられる。影響するのは 32bit ビルドの gawk 5.4.0 以下で、一般的な 64bit ビルドは対象外。スコアの読み方に注意が要る脆弱性で、NVD の CVSS 3.1 基本値は 9.1（Critical・AV:N）だが、同じ NVD の CVSS 4.0 では 5.1（Medium・AV:L＝ローカル）と評価されている。実際の攻撃面は「攻撃者が内容を制御できるデータを 32bit gawk の sub/gsub に食わせられるか」で決まるため、当サイトの掲載基準（CVSS 3.1 で 7.0 以上）は満たすものの、64bit 環境しか無い組織では優先度を上げる必要はない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
Amazon Linux / RHEL 系の x86_64 イメージは32bitビルドの gawk を提供しないため、標準構成では該当しない。Red Hat は「RHEL 7 以降と CoreOS に32bitビルドは無い」と明記している。
例外は、i386 / armhf（32bit ARM）のコンテナイメージやエッジ機器を EC2 / ECS / IoT Greengrass で動かしている場合である。`file $(which gawk)` または `getconf LONG_BIT` で32bitかどうかを確かめる。64bit なら対処不要。
参照リンク
|
| GCP | 対象外 |
Compute Engine / GKE の標準的な64bitイメージは該当しない。32bitビルドの gawk を含むイメージだけが対象である。
32bit のベースイメージ（i386 の Debian など）でビルドしたコンテナを使っている場合のみ確認する。`getconf LONG_BIT` が 32 を返す環境が対象。
参照リンク
|
| Azure | 対象外 |
Azure VM / AKS の標準的な64bitイメージは該当しない。
32bit のイメージを持ち込んでいる場合のみ確認する。判定は `getconf LONG_BIT`。
参照リンク
|
| Linux | 回避策のみ |
**32bit ビルドの gawk 5.4.0 以下が対象。** Debian は 2026-09-08 時点で bookworm / trixie / sid のいずれも修正パッケージを出しておらず（trixie は `<no-dsa>` = Minor issue 判定）、**ディストリの更新を待つ経路は現時点で無い**。自前でビルドする場合は上流コミット ae1b2d5（savannah の gawk.git）を当てる。Red Hat 系（RHEL 7 以降・CoreOS）は32bitビルドを提供しないため該当しない。
まず `getconf LONG_BIT` で32bitかを確かめる。64bit なら対処不要である。32bit の場合、影響は**クラッシュ（DoS）**であり、Red Hat の評価も可用性 Low どまり。信頼できない入力を `sub()` / `gsub()` に通す gawk スクリプトを、32bit 環境で常駐処理に使っていないかを見る。該当するなら、その処理だけ64bit機へ寄せるのが現実的な回避になる。
参照リンク
|
まず自環境に 32bit ビルドの gawk があるかを確認する（file $(which gawk) や dpkg --print-architecture で判別できる）。無ければこの CVE の実害は無い。32bit 環境がある場合、2026-08-10 時点で Debian は unstable も含めて未修正（trixie は no-dsa＝軽微として扱う判断）なので、上流の修正コミット ae1b2d50 を当てた gawk を自前でビルドするか、当該処理を 64bit 環境へ寄せるのが現実的な対応になる。ディストリのパッケージ更新を待つ方針でも、対象が 32bit に限られるためリスクは限定的である。
Critical（CVSS 9.1）に分類されるGNU gawk（GNU awk）の脆弱性です。gawk の builtin.c にある do_sub()（sub / gsub の実装）に整数オーバーフローがあり、ヒープのメタデータやオブジェクトを上書きしてプログラムをクラッシュさせられる。影響するのは 32bit ビルドの gawk 5.4.0 以下で、一般的な 64bit ビルドは対象外。スコアの読み方に注意が要る脆弱性で、NVD の CVSS 3.1 基本値は 9.1（Critical・AV:N）だが、同じ NVD の CVSS 4.0 では 5.1（Medium・AV:L＝ローカル）と評価されている。実際の攻撃面は「攻撃者が内容を制御できるデータを 32bit gawk の sub/gsub に食わせられるか」で決まるため、当サイトの掲載基準（CVSS 3.1 で 7.0 以上）は満たすものの、64bit 環境しか無い組織では優先度を上げる必要はない。
まず自環境に 32bit ビルドの gawk があるかを確認する（file $(which gawk) や dpkg --print-architecture で判別できる）。無ければこの CVE の実害は無い。32bit 環境がある場合、2026-08-10 時点で Debian は unstable も含めて未修正（trixie は no-dsa＝軽微として扱う判断）なので、上流の修正コミット ae1b2d50 を当てた gawk を自前でビルドするか、当該処理を 64bit 環境へ寄せるのが現実的な対応になる。ディストリのパッケージ更新を待つ方針でも、対象が 32bit に限られるためリスクは限定的である。
GNU gawk（GNU awk） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-40469）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/09/09）。