インストーラーをダブルクリックしてから、完了の画面が出るまでの数分間。Windows版「LINE」のインストーラーで見つかった脆弱性は、その数分間を突くものでした。JVNが今年公表した同種のレポートは、表題に「DLL読み込み」を掲げたものだけで18件。そこにはJPCERT/CC自身が配布していたツールも含まれています。
脆弱性ポータルサイト「JVN」は2026年8月10日、レポート「JVN#40467227」を公開した。LINEヤフーが提供するPC（Windows）版「LINE」のインストーラーに、DLL読み込みに関する脆弱性（CVE-2026-13133）が存在する。「LineInst.exe」が安全なDLL検索パスを設定しないまま「Msftedit.dll」を相対パスで読み込むため、同じフォルダーに置かれた悪意のあるDLLが「System32」内の正規のDLLより先に読み込まれる。深刻度はCVSS 4.0の基本値で8.4。インストーラーを起動したユーザーの権限で任意のコードが実行される可能性がある。影響を受けるのはv26.4.0より前で、同版で修正済み。中村行宏氏がIPAに報告した。
From: 
JVN#40467227 LINE PC版（Windows版）のインストーラにおけるDLL読み込みに関する脆弱性
【編集部解説】
同じフォルダーにあるものを、先に信じる
ソフトを新しく入れるとき、ダウンロードしたファイルをダブルクリックしてから、完了の画面が出るまでの数分間。あの時間に何が起きているかを、意識したことはあるでしょうか。
今回JVNが公開した脆弱性は、まさにその数分間の話です。
Windowsのソフトは、機能のすべてを自分で抱えているわけではありません。文字の表示や画像の処理といった役割は、DLLと呼ばれる部品ファイルに任せています。ソフトは起動時に「この部品が要る」とWindowsに頼み、Windowsが決まった順番で保管場所を探しにいきます。
このとき、Windowsが最初に見にいく場所のひとつが「そのソフト自身と同じフォルダー」です。
今回の「LineInst.exe」は、「Msftedit.dll」という部品を、置き場所を指定しない相対パスで呼んでいました。結果として、インストーラーと同じフォルダーに同名の偽物が置かれていれば、「System32」にある本物より先にそちらが読み込まれます。読み込まれた偽物の中身は、インストーラーを起動した人の権限で動きます。
これはWindowsの不具合ではなく、仕様通りの挙動です。だからこそ呼ぶ側が場所を指定しなければならない——「ファイル検索パスの制御不備」（CWE-427）という分類は、そういう意味を持っています。
インストーラーだけが、無防備な場所で起動する
ここで疑問が浮かびます。同じ理屈なら、あらゆるソフトが危ないのではないか。
答えは「多くのソフトでは、この攻撃のリスクは低い」です。JVNが関連文書として挙げているJVNTA#91240916が、この点を説明しています。
普段使うソフトは「Program Files」のような場所にインストールされ、そこは管理者権限がなければ書き換えられません。攻撃者が偽のDLLを忍び込ませようにも、置く場所がないのです。
JVNTAは、多くのWindowsアプリケーションではこの攻撃のリスクが低い一方、インストーラー、自己解凍書庫、ポータブルアプリなど、一般ユーザーが書き込める場所から起動されるものではリスクが高まると説明しています。
具体的な筋書きは、拍子抜けするほど地味です。何らかの方法で細工されたDLLをダウンロードさせておく。それ自体は何も起こしません。ただフォルダーに転がっているだけです。そののち、利用者が別の機会にインストーラーをダウンロードし、いつも通りその場でダブルクリックする。ここで両者がそろい、条件が成立します。
JVNTAが公開されたのは2017年、最終更新は2019年。9年前から警告され続けている領域であり、LINEに固有の話ではありません。
注意喚起する側のツールでさえ、同じ穴に落ちた
「固有の話ではない」というのは、印象論ではありません。数えられます。
2026年1月から8月10日までにJVNで公開された案件のうち、表題に「DLL読み込み」を含むものだけでも18件あります。JVN#の一覧に16件、JVNVU#の一覧に2件です。なお、表題が「複数の脆弱性」とされた案件にも同種のCWE-427が含まれており、この18件は同型事例の総数ではありません。
パイオニア、ローランド、リコー、M-Audio製M-Track Duo HD、OMデジタルソリューションズの画像編集ソフトOM Workspace。1月にはブラザー製の複数のインストーラー、4月にはオムロン製の無停電電源装置（UPS）管理アプリケーション。3月にはIBM Trusteer Rapport——銀行がオンラインバンキング利用者に配っている、まさにセキュリティ対策のためのソフトのインストーラーが挙がりました。7月には証券取引ツールのHYPER SBI 2。
そして4月10日、JVN#00263243。対象は、JPCERT/CC自身が配布していたEmotet感染確認ツール「EmoCheck」でした。
分類はCWE-427。深刻度はCVSS 4.0で8.4、CVSS 3.0で7.8。今回のLINEの件と、分類も点数も評価ベクターも完全に一致しています。参考情報として掲げられているのも、同じJVNTA#91240916です。
つまり、「インストーラーのDLL読み込みに気をつけろ」と9年間呼びかけてきた当の組織のツールが、自ら呼びかけてきたその落とし穴に落ちていたことになります。EmoCheckはすでに配布を終えていたため、示された対策は修正版の提供ではなく、使用停止の推奨でした。
責める話ではありません。長年注意喚起されてきた問題でありながら、2026年にもこれだけの事例が公表されている——それが確認できる事実です。
なお、同じ8.4という点数でも、実際の被害範囲は案件ごとに違います。エフサステクノロジーズのServerView Agents for Windowsでは、想定される影響が「インストーラーを実行している管理者権限で任意のコードが実行される」と記されています。点数は同じでも、届く先が違うのです。
18件の裏側に、同じ名前がある
ここで、当然の疑問が浮かびます。なぜ今年、これほど出たのか。
答えの一端は、報告者の欄にあります。表題に「DLL読み込み」を含む18件の謝辞を照合すると、14件でGMOサイバーセキュリティ byイエラエ株式会社の松本一真氏が報告者として記載されています。パイオニア、ServerView Agents、OM Workspace、HYPER SBI 2——並んだ社名の裏に、同じ名前があります。
経路は一様ではありません。13件は情報セキュリティ早期警戒パートナーシップに基づきIPAへ報告されたものですが、ブラザー製インストーラーの案件については、JVNは松本氏が製品開発者に直接報告したと記しています。
なお、2月2日に公表された複数のMicrosoft Office製品も同氏の報告ですが、表題が「信頼できない検索パス」で分類もCWE-426のため、この18件には含めていません。
18件という数字は、18の組織が不注意だったという意味ではありません。同時に、18人が別々に気づいたという意味でもありません。同じ型の脆弱性を繰り返し発見し、報告している人がいる——18件のうち14件には、その同じ名前が記されています。
根っこは、インストーラーを「作る道具」にある
では、なぜこの型の弱点がこれほど残っているのか。JVNTAは原因の在りかも示しています。
この種の問題の多くは、アプリ開発者がインストーラー作成ソフトウェアの旧版を使い続けていることに起因する、というのです。InstallShield、NSIS、WiX、Inno Setup、install4j——主要なツールはいずれも対策版を提供済みですが、開発環境のツールが更新されていなければ、生成されるインストーラーには古い問題が残ります。
JVNVU#91648232は、この構図をより直接的に記述しています。Flexera InstallShieldが生成したインストーラーのDLL読み込み脆弱性を扱ったもので、影響を受けるシステムに「InstallShieldによって生成されたインストーラが組み込まれた他社製品」と明記されています。2020年に公開され、2025年7月にも更新された、いまも生きている文書です。
ただし、今回のLINEを含む18件それぞれが旧版ツールに起因したかは、公表情報からは確認できません。JVNTAが示すのは、この種の問題の多くで旧版のインストーラ作成ソフトウェアの使用が背景にある、という一般論です。
自社サイトから実行ファイルを配布している方は、開発環境で使っているインストーラー作成ソフトのバージョンを確認するところから始められます。CVSS 8.4という評価が付く問題が、ビルド環境の更新漏れから生まれうる——JVNTAはそう説明しています。
8.4という数字の読み方
深刻度はCVSS 4.0で8.4、CVSS 3.0で7.8。いずれも「重要」に相当します。
ただしJVNは、この採点が「細工されたDLLファイルをインストーラと同じディレクトリに配置してインストーラを起動するように、ユーザが誘導される状況を想定」した値だと明記しています。LINEを使っているだけで危険、という性質のものではありません。評価ベクターにも、利用者の関与が必要である旨がきちんと刻まれています。
数字だけが独り歩きすると、対策の焦点までぼやけます。守るべきはアプリではなく、インストーラーを実行する瞬間の環境です。
「修正済み」が、手元に届くとは限らない
修正版はv26.4.0。すでに配布されています。
ここで注意したいのは、配布元で修正版が公開されても、手元に保存してある古いインストーラーそのものが修正版になるわけではないという当たり前の事実です。役目を終えてダウンロードフォルダーに残った「LineInst.exe」は、いつまでも古いままそこにいます。
家族のPCにLINEを入れてあげるとき、社内で新しい端末を用意するとき、去年ダウンロードしたインストーラーを使い回していないでしょうか。古いインストーラーは、修正版が出ても直りません。
なお、Microsoftは2018年、この型を「アプリケーションディレクトリにおけるDLLの植え付け」と位置づけ、実際の攻撃実現性が限定的だとして、通常のセキュリティ更新では対応しない方針を示しました。JVN#91151862には、同社製の複数のWindowsアプリケーションおよびインストーラー自体が同型の脆弱性として公開され、そこにこの方針が記されています。2026年時点でこの方針を改めて示した公式文書は確認できませんでしたが、OS側が肩代わりしてくれる領域ではないという前提で読む必要はあります。
だから、対策は利用者の側の習慣になります。ダウンロードしたファイルを、ダウンロードフォルダーに置いたままにしない。インストーラーは新しく作った一時フォルダーへ移してから実行する。実行前に同じフォルダーへ不審なファイルがないか目を通す。どれも今日からできて、しかもLINE以外のすべてのインストーラーに効きます。
名前のある報告者と、名前のある仕組み
今回のJVNレポートには、報告者として中村行宏氏の名前が記されています。氏がIPAへ届け出て、JPCERT/CCが開発者との調整にあたり、修正版のリリースを経て公表に至りました。「情報セキュリティ早期警戒パートナーシップ」と呼ばれる手続きです。
EmoCheckの件も同じ経路をたどっています。報告者はＰｏｗｄｅｒ Ｋｅｇ Ｔｅｃｈｎｏｌｏｇｉｅｓ株式会社の島田凌氏。JPCERT/CCは自組織の製品として、この報告を受け止めて公表しました。
見つけた人が黙っていれば、これらの脆弱性は誰にも知られないまま残り続けます。届け出ないという選択も、別の場所へ持ち込むという選択もありえたはずです。そうせずに公的な窓口へ届けるという判断が、この記事の前提を作っています。
受け取る側の動きも見えます。現在のLINEヤフーのセキュリティアドバイザリ一覧には、旧LINE時代を含め2013年の案件まで収録されています。今回も8月10日付のアドバイザリで、「LineInst.exe」と「Msftedit.dll」という具体的なファイル名を含む技術説明が出されました。直したことを、直した当事者が自分の名前で公表する。この一往復が成立して初めて、私たちは「では自分のダウンロードフォルダーはどうか」と考えられます。
インストールという行為の、これから
長い目で見れば、これは「インストーラーという配布方式」そのものの宿題でもあります。
ストアやパッケージマネージャー経由の配布では、実行ファイルをダウンロードフォルダーから直接起動する場面を減らせるため、今回のような攻撃シナリオの成立機会を減らせます。実際、PC版LINEはMicrosoft Storeでも配布されています。
とはいえ、公式サイトから実行ファイルを落とす文化は当分残るでしょう。ならば当面の現実解は、利用者が「実行する場所を選ぶ」ことを覚えることです。一手間だけ、置き場所を移す。
18件という数字は、18の組織の不注意でも、18人の努力でもありませんでした。そのうち14件は、一人の研究者による報告です。その仕事が届く先は、結局のところ、私たちのダウンロードフォルダーです。インストールの数分間を、少しだけ意識してみる。今回の脆弱性が教えてくれるのは、たぶんそれくらいシンプルなことです。
【関連記事】
LINE公式アカウント情報漏えい：Akamai CDN脆弱性「CVE-2025-66373」がもたらしたリスクとは
外部サービスの脆弱性が、LINEの利用者情報に波及した事例。
バッファロー製ルーター4機種に深刻な脆弱性、高知高専が発見しIPAへ報告
情報セキュリティ早期警戒パートナーシップが機能した、もう一つの事例。
GUARDIANWALL MailSuiteに緊急脆弱性、悪用確認済み──CVSS 9.8の認証不要RCEがメールの「関所」を脅かす
JVN公表を起点に、深刻度の読み方と実務上の対処を整理した記事。
【編集部後記】
JVNTA#91240916の末尾には、少し変わった一文が添えられています。この文書は、関連する脆弱性の届出を大量に受領していることに鑑み、利用者と開発者への啓発を目的として公開する——。個別の製品ごとではなく、まとめて注意を促す判断がそこにありました。
2017年のその判断から9年。今年の18件のうち14件には、同じ研究者の名前が報告者として記されています。届出の担い手が広がった証拠と読むには、14件が一人に集中しています。
【用語解説】
DLL（Dynamic Link Library）
Windowsで、アプリケーションなどから動的に読み込まれる関数やデータを含むライブラリ（部品）ファイル。複数のプログラムから共用されるものもある。
ファイル検索パスの制御不備（CWE-427）
プログラムが必要なファイルを探す際、探索先の指定が不十分なために、意図しない場所のファイルを読み込んでしまう脆弱性の型。今回のCVE-2026-13133もこれに分類される。
相対パス
ファイルの場所を、絶対的な位置ではなく「現在の場所から見た位置」で指定する書き方。場所を固定しないため、実行時の状況によって読み込む対象が変わりうる。
System32
Windowsが標準のDLLを格納しているシステムフォルダー。管理者権限がなければ書き換えられないため、ここに置かれたファイルは信頼できる前提で扱われる。
CVSS（Common Vulnerability Scoring System）
脆弱性の深刻度を10点満点で表す国際的な共通指標。バージョン3.0と4.0では評価項目が異なり、同じ脆弱性でも点数がずれることがある。
自己解凍書庫
圧縮ファイルと展開機能を1つの実行ファイルにまとめたもの。インストーラーと同様、一般ユーザーが書き込める場所に置かれて実行されるため、同種の問題が指摘されてきた。
インストーラー作成ソフトウェア
アプリケーションの導入用プログラムを生成する開発ツール。InstallShield、NSIS、WiX、Inno Setup、install4jなどがあり、旧版が生成したインストーラーに問題が残る事例が報告されている。
EmoCheck
JPCERT/CCが提供していたマルウェア「Emotet」の感染確認ツール。2026年4月にDLL読み込みの脆弱性が公表され、すでに配布を終えていたことから、対策として使用停止が推奨された。
情報セキュリティ早期警戒パートナーシップ
脆弱性の発見者がIPAへ届け出て、JPCERT/CCが開発者と公表時期を調整する日本の枠組み。修正版のリリース後に情報が公開されるため、無防備な期間を短くできる。
【参考リンク】
JVN（Japan Vulnerability Notes）（外部）
JPCERT/CCとIPAが共同運営する脆弱性情報ポータル。本件のJVN#40467227もここで公開された。
JPCERTコーディネーションセンター（外部）
国内のインシデント対応と脆弱性調整を担う組織。開発者との公表調整を行うほか、EmoCheckの提供元でもある。
情報処理推進機構（IPA）脆弱性関連情報の届出受付（外部）
国内の脆弱性関連情報の届出を受け付ける公的機関。発見者はまずこの窓口へ報告し、公表までの調整が始まる。
LINEヤフー株式会社（外部）
LINEやYahoo! JAPANを運営するLINEヤフーの企業サイト。セキュリティやプライバシーの方針も掲載する。
LY Corporation Security Advisory（外部）
LINEヤフーが自社製品の脆弱性を公開するアドバイザリ。CVE-2026-13133の技術説明もここに掲載された。
GMOサイバーセキュリティ byイエラエ株式会社（外部）
国内のセキュリティ企業。所属する研究者が今回と同型の脆弱性を複数件、報告している。
エフサステクノロジーズ株式会社（外部）
ServerView Agentsの提供元。自社サイトで脆弱性情報とアップデート方法を公開している。
LINE Security Bug Bounty Program（外部）
LINE関連サービスを対象とした報奨金プログラム。対象範囲やルールが公開されている。
【参考記事】
Windows版「LINE」のインストーラーにDLL読み込みの脆弱性 ～任意コード実行のおそれ（窓の杜）（外部）
本件を報じた記事。修正版の配布状況とあわせて注意を呼びかけている。
JVNTA#91240916 Windows アプリケーションによる DLL 読み込みやコマンド実行に関する問題（外部）
2017年公開、2019年最終更新の技術アラート。インストーラーで危険度が高まる理由と、利用者・開発者それぞれの対策を示す。
JVN#00263243 EmoCheckにおけるDLL読み込みに関する脆弱性（外部）
2026年4月10日公開。JPCERT/CC自身のツールが、今回のLINEと同一の分類・深刻度で公表された。
JVNVU#91648232 Flexera InstallShield によって生成されたインストーラに DLL 読み込みに関する脆弱性（外部）
2020年公開、2025年7月最終更新。影響範囲に「InstallShieldによって生成されたインストーラが組み込まれた他社製品」と明記されている。
JVN#65211823 ServerView Agents for WindowsのインストーラーにおけるDLL読み込みに関する脆弱性（外部）
2026年1月21日公開。想定される影響が管理者権限でのコード実行と記され、同じ深刻度でも到達範囲が異なることを示す。
JVN#59875262 HYPER SBI 2のインストーラにおけるDLL読み込みに関する脆弱性（外部）
2026年7月15日公開。LINEの件の約1か月前に公表された、証券取引ツールでの同型事例。
