HP Linux Imaging and Printing の脆弱性 CVE-2026-14544：権限昇格と RCE

HP Linux Imaging and Printing Software Flaw Enables Privilege Escalation Attacks

2026/07/10 gbhackers — HP Linux Imaging and Printing Software (HPLIP) に重大な脆弱性が発見された。この脆弱性を悪用するリモート攻撃者は、Linux システムに対して潜在的な権限昇格およびコード実行の攻撃を仕掛けられる。この脆弱性 CVE-2026-14544 (CVSS v3 9.8) は、ネットワーク経由での悪用が可能であり、攻撃の複雑度は低く、ユーザー操作が不要であることから、高深刻度として評価されている。

この問題は 2026年7月3日に公開されたものだが、以前に報告された脆弱性 CVE-2026-8631 に対する不完全な修正に起因している。そのため、広く展開されている印刷環境において、リスクが継続している状況への懸念が高まっている。

HP Linux Imaging and Printing Software の欠陥

この脆弱性は、HPLIP の hpcups コンポーネントの、印刷データ処理パイプライン内に存在する。Red Hat のアドバイザリによると、この欠陥は整数オーバーフロー状態 (CWE-190) に起因し、特別に細工された印刷ジョブを処理する際にトリガーされる可能性がある。

影響を受けるシステムに対して悪意の印刷データを送信する攻撃者は、この弱点を悪用してメモリ操作を改竄し、任意コード実行につなげる可能性がある。通常、hpcups フィルタは “lp” ユーザー・アカウントで実行されるため、悪用に成功した攻撃者は、そのコンテキスト内で権限を昇格させ、さらなるシステム侵害を引き起こす可能性がある。

セキュリティ研究者たちが懸念するのは、複数のユーザーや外部ネットワークからもアクセス可能な印刷サービスおよび、共有環境またはネットワーク接続された印刷環境における攻撃ベクターである。

この脆弱性の悪用に際しては、認証もユーザー操作も必要としない。したがって脅威アクターは、脆弱なプリンタ・キューへ悪意のある印刷ジョブを送信するだけで、リモートからの悪用を可能にするため、攻撃対象領域は大幅に広がる。特に、集中型プリントサーバや自動印刷ワークフローに依存するエンタープライズ環境では、その影響が大きい。

この欠陥が影響を及ぼす範囲は、RHEL 8／RHEL 9／RHEL 10 などの、Red Hat Enterprise Linux (RHEL) バージョンである。なお、この情報が開示された時点では、パッチは提供されていなかった。

RHEL 6／RHEL 7 などの以前のバージョンは、脆弱なコードを含まないため、影響を受けない。開示時点で修正が利用できないため、補完的制御を実装して露出を軽減する必要性が高まっている。

技術的な観点から見ると、整数オーバーフロー脆弱性は、メモリ破損／ロジックエラー／サービス拒否状態などの、予測不能な挙動を引き起こす可能性がある。

このケースでは、オーバーフローにより実行ロジックの変更や、バッファ・オーバーフローが生じる可能性がある。それを悪用する攻撃者は、セキュリティ・メカニズムをバイパスし、不正なコマンドを実行できる。機密性／完全性／可用性への潜在的な影響を踏まえると、本番システムにとって高リスクの問題である。

セキュリティ・チームに推奨される緩和策は、印刷サービスへのアクセスを制限し、信頼されたユーザーおよびネットワークだけが印刷ジョブを送信できるようにすることだ。HPLIP パッケージの無効化／削除も有効な回避策であるが、印刷に支障をきたす可能性がある。さらにユーザー組織は、ベンダーのアドバイザリを監視し、パッチが利用可能になり次第、適用すべきである。

HPLIP が各種の Linux ディストリビューションで使用されていることを踏まえると、不完全な脆弱性の修正に関連する継続的なリスクが懸念される。また、パッチ適用後の厳格な検証の必要性が強調される。

訳者後書：多くの職場で共有される HP Linux Imaging and Printing Software (HPLIP) ですが、過去の不具合の修正が不十分だったことで思わぬ弱点が残ってしまいました。Linux 環境でプリンターを利用するための基盤ツールである HPLIP において、データ処理時の数値計算に起因する問題が見つかりました。今回の発表によると、脆弱性 CVE-2026-14544 を悪用する攻撃者が、ネットワーク経由で細工されたデータを送信するだけで、不正なコマンド実行や管理権限の奪取が生じてしまいます。安全に印刷機能を使い続けるために、アクセス可能なネットワークを信頼できる範囲に絞り、ベンダーから公式の修正パッチが提供され次第、速やかにアップデートを適用する必要があります。