GIMP の PSD 読み込みプラグインに符号なし整数アンダーフロー、細工した .psd を開くと任意コード実行（NVD 主評価 9.9 / Red Hat 8.4）

Critical（CVSS 9.9）に分類されるGIMP / Red Hat GIMP の PSD（Adobe Photoshop）ファイル形式プラグイン。NVD の適用範囲には GIMP 3.3.1 と、Red Hat Enterprise Linux 7 / 8 / 9 が含まれる。Red Hat の修正は RHSA-2026:61587 で配布されている。の脆弱性です。GIMP の PSD ファイル形式プラグインに欠陥がある。NVD の記述はこうである。「GIMP の PSD ファイル形式プラグインに欠陥が見つかった。この脆弱性は `block_rem` 変数における符号なし整数アンダーフローで、利用者が細工された `.psd` 画像ファイルを開いたときに発生する。アンダーフローはパーサの混乱を招き、攻撃者が任意のデータをレイヤーリソースブロックとして注入できるようになる。最終的に任意コード実行に至り、攻撃者が被害者のシステム上で悪意あるコードを実行できる」。 **仕組みを一段だけ噛み砕く。**`block_rem` は「このブロックの残りバイト数」を保持する変数で、符号なし整数である。符号なし整数は 0 から 1 を引くと負にならず、**型の最大値へ回り込む**（アンダーフロー / wraparound）。残量が実際には尽きているのに「まだ膨大に残っている」とパーサが誤認する状態になり、その先の読み取り・書き込みが本来の範囲を越える。ここに攻撃者の用意したデータをレイヤーリソースブロックとして流し込める、というのが CWE-191 の典型的な帰結である。 **この CVE も評価が割れている。**Red Hat（secalert@redhat.com）の二次評価は **8.4（High）**でベクタ AV:N/**AC:H**/PR:L/UI:N/S:C/**C:L**/I:H/A:H。NVD の主評価は **9.9（Critical）**でベクタ AV:N/**AC:L**/PR:L/UI:N/S:C/**C:H**/I:H/A:H である。差は攻撃条件の複雑さ（AC）と機密性への影響（C）の2点で、Red Hat のほうが**成立条件が厳しく、情報漏えいの影響は限定的**と見ている。ディストリビュータの評価は自社のビルド構成（コンパイラの緩和機構など）を織り込んでいることが多く、**NVD の主評価より低く出るのは珍しくない**。どちらも Critical / High の帯にあるので、対応の優先度が変わるほどの差ではない。 **入口は「ファイルを開くこと」である。**画像編集ソフトの脆弱性は軽く見られがちだが、PSD は業務でやり取りされるファイル形式であり、**メールの添付・共有ストレージ・受け取った素材データ**として日常的に外部から入ってくる。ファイルを開くという操作自体が業務そのものなので、「不審なファイルを開かない」という一般的な注意が働きにくい類の欠陥である。 参照には Red Hat の RHSA-2026:61587（正誤情報）、Red Hat のセキュリティページ、Bugzilla 2496584、および GNOME GitLab の work item 16509 が含まれる。GitLab の項目には NVD 側で **Exploit / Mitigation / Vendor Advisory** のタグが付いている。CISA の KEV カタログには収載されていない（カタログ版 2026.08.31 で確認）。NVD のステータスは Modified、最終更新は 2026-08-31 である。

対応は **GIMP の更新**である。Red Hat 系なら RHSA-2026:61587 に対応するパッケージを適用する。 **まず、どこに入っているかを把握すること。**GIMP はサーバに常駐するサービスではなく、**利用者の端末に入っているアプリケーション**である。したがって、この CVE の影響範囲はサーバ台帳ではなくクライアント端末の導入状況で決まる。加えて、**画像処理をバッチで回している経路にも注意が要る**。GIMP は `gimp --batch` や Script-Fu でヘッドレスに動かせるので、投稿された画像を変換するようなパイプラインに組み込まれている場合、**利用者の操作なしに外部由来の .psd がパーサへ届く**。この経路がある環境では、デスクトップ利用より優先度が高い。 **更新までのあいだの手当てとして、PSD の取り扱いを絞る手がある。**この欠陥は PSD プラグインのパーサに閉じているので、**PSD を GIMP で開かなければ成立しない**。バッチ処理側で拡張子とマジックバイトによる PSD の除外を入れる、外部から受け取った PSD は別環境（使い捨てのコンテナ、ネットワークから隔離した端末）で開く、といった運用が更新までの橋渡しになる。ただしこれは緩和であって修正ではない。 **サンドボックス化の効果も評価しておく価値がある。**Flatpak / Snap で導入した GIMP は、既定でファイルシステムとネットワークへのアクセスが制限される。任意コード実行が成立してもサンドボックスの外へ出るには追加の欠陥が要るため、被害の広がりを抑える方向には働く。**成立自体を防ぐわけではない**ので、更新の代わりにはならない。

GIMP / Red Hat GIMP の PSD（Adobe Photoshop）ファイル形式プラグイン。NVD の適用範囲には GIMP 3.3.1 と、Red Hat Enterprise Linux 7 / 8 / 9 が含まれる。Red Hat の修正は RHSA-2026:61587 で配布されている。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-59090）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。