OpenVPN for macOS の脆弱性 CVE-2026-9560 が FIX：任意のコード実行の可能性

Critical OpenVPN Connect for macOS Vulnerability Let Attackers Execute Arbitrary Commands

2026/05/28 CyberSecurityNews — OpenVPN Connect for macOS において、深刻な特権昇格の脆弱性が発見された。この脆弱性を悪用するローカル攻撃者は、アプリケーションのバックグラウンド・サービス・コンポーネントを介して、昇格した権限で任意のコマンド実行を可能にする。この脆弱性 CVE-2026-9560 (CVSS4.0 9.4 Critical) が影響を及ぼす範囲は、バージョン 3.5.1 〜 3.8.1 となる。

この脆弱性は、OpenVPN Connect の macOS 用特権ヘルパー・コンポーネントに存在する。このコンポーネントは、昇格されたシステム権限で動作するバックグラウンド・サービスであり、VPN 接続を管理するものだ。

この脆弱性は CWE-78 (OS コマンド・インジェクション) に分類され、ローカル IPC (プロセス間通信) チャネルを介した悪用を許す。攻撃者はローカル IPC チャネルを通じて、このバックグラウンド・サービスと直接通信する。それにより、任意の OS コマンド注入が root 権限で引き起こされるが、ユーザー操作は必要とされない。

この脆弱性は、Ismael Esquilichi／Pablo Redondo／Le Duc Ninh により責任ある開示が行われた。なお、情報が公開された時点では、PoC の公開や実際の悪用事例は確認されていない。

今回のリリースでは、CVE-2026-9560 の修正に加えて、以下の 2 件の不具合も修正されている。

• Browser 認証失敗：サーバ URL が「/」「?」「#」で終わる場合に、Web ベース認証のためのブラウザ起動に失敗する問題を修正。
• 空プロファイル・インポート・クラッシュ：手動プロファイル・インポート画面が予期せず表示されて空プロファイルがインポートされる問題、およびプロファイル切り替え時にアプリがクラッシュする不具合を修正。

対策

OpenVPN Connect を使用する macOS ユーザーおよびセキュリティ・チームは、即時の対応が必要である。

• 最新バージョン 3.8.2 以降への即時のアップデート。
• 影響バージョンが稼働するシステムへのローカル・アクセスの制限。
• OpenVPN バックグラウンド・プロセスとの異常な IPC 通信の監視。
• エンドポイントのアクセス制御の監査と、ローカル攻撃面の最小化。

この脆弱性はローカル特権昇格であるため、未パッチ環境は横展開リスクとして扱う必要がある。特に複数ユーザーが共有する macOS 環境では、侵害の影響が拡大する可能性が高い。

訳者後書：OpenVPN Connect for macOS の脆弱性は、 特権ヘルパーと呼ばれるバックグラウンド・サービスにおいて、プロセス間通信 (IPC) 経由で受け取る際のデータ検証の不備に起因します。昇格したシステム権限で動作するコンポーネントが、通信チャネルから送られてくる命令を処理する際に、適切なサニタイズを行っていません。そのため、OS コマンド・インジェクションの弱点が生じ、ローカル環境のユーザーから渡された悪意のコマンドが root 権限で実行される状態を招いています。ご利用のチームは、ご注意ください。よろしければ、OpenVPN での検索結果も、ご参照ください。