Vim for Windows の脆弱性 CVE-2025-66476 が FIX：任意のコード実行の恐れ

Vim for Windows Vulnerability Let Attackers Execute Arbitrary Code

2025/12/04 CyberSecurityNews — Vim for Windows に深刻なセキュリティ脆弱性が発見された。この脆弱性を悪用する攻撃者は、ユーザーのコンピュータ上で悪意のコードを実行できる。この脆弱性 CVE-2025-66476 (CVSS：7.8：High) が影響を及ぼす範囲は、Vim のバージョン 9.1.1947 以下である。この脆弱性は、Vim が Windows システム上で外部プログラムを検索する方法に起因する。ユーザーが Vim で “grep” や “make” などのコマンドを実行するときに、この脆弱性の悪用が可能になるという。

脆弱性 CVE-2025-66476 の概要

このテキスト・エディタは、システム・ディレクトリを確認する前に、カレントの作業ディレクトリで必要な実行ファイルを検索する。この操作の順序を悪用する攻撃者は、悪意のファイルを挿入する機会を得る。つまり、findstr.exe のような一般的な名前を持つ悪意のファイルを、プロジェクト・フォルダ内に配置するだけで、攻撃のための準備が整ってしまう。

AttributeDetails
CVE IDCVE-2025-66476
PackageVim for Windows
Vulnerability TypeUncontrolled Search Path Element (CWE-427)
SeverityHigh
CVSS Score7.8
CVSS VectorAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

したがって、ユーザーが該当フォルダ内のファイルを開き、grep コマンドを実行すると、Vim は正規の Windows システム・ファイルではなく、攻撃者が作成した悪意のバージョンを実行する。

それにより、攻撃者は、Vim を実行しているユーザーと同じ権限で任意のコードを実行できる。このシナリオは、開発プロセスにおいて極めて危険なものである。

たとえば、開発者が悪意のリポジトリをクローンし、Vim を使用してファイルを開くと、知らないうちに攻撃が誘発される。つまり、grep や make の実行だけで、悪意のペイロードが実行される可能性がある。

この攻撃を成功させるために、標的ユーザーの昇格された権限は不要である。攻撃者は、ディレクトリに悪意のファイルを埋め込むためのユーザー・レベルの権限だけを持っていればよく、Vim が外部コマンドを使用するたびに、脆弱性が悪用される可能性が生じる。

GitHub で公開されたアドバイザリによると、Vim バージョン 9.1.1946 以下を実行している、すべての Windows ユーザーが脆弱性 CVE-2025-66476 の影響を受ける。具体的には、Vim と gVim のユーザーが含まれる。

すでに Vim は、パッチ・バージョン 9.1.1947 をリリースし、この脆弱性を修正している。ユーザーにとって必要なことは、このバージョン以降への速やかな更新である。

このパッチは、Vim が外部実行ファイルを検索する方法を変更し、カレントの作業ディレクトリ内のファイルを優先しないようにするものだ。

Vim for Windows で外部コマンドを実行する際に、作業ディレクトリ内が先行して検索されるという仕組みに問題があります。この不適切な順序により、findstr.exe などの名前を持つ悪意の実行ファイルを紛れ込むと、正規のコマンドより先に実行されてしまうという、きわめて危険な状況が生じます。ご利用のチームは、ご注意ください。よろしければ、Vim での検索結果も、ご参照ください。