JVN（Japan Vulnerability Notes）は、総務省が提供するmiCheckerにおけるXML外部実体参照（XXE）の脆弱性を公表した。悪用された場合、細工された字幕を読み込ませることで、miCheckerが動作しているコンピュータを介してローカルリソースや内部ネットワークリソースへアクセスされるおそれがある。
脆弱性の詳細
JVN（Japan Vulnerability Notes）によると、miCheckerにはXML外部実体参照（XXE）の脆弱性が存在する。miCheckerは字幕ファイルの確認・表示のためにXMLの解析機能を利用しており、この実装に起因して外部実体参照が可能となる。攻撃者が細工した字幕ファイルを読み込ませると、意図しない通信が発生し、ローカルリソースや内部ネットワークリソースへアクセスされる可能性がある。CWE-611に分類され、CVE-2026-14304が割り当てられている。
影響を受けるのはmiChecker 3.1.0以前の全てのバージョンである。CVSSはCVSS:4.0で基本値4.6とされている。攻撃条件としては、利用者に細工された字幕ファイルを開かせる必要があるため、ユーザー操作を伴う。
影響を受ける製品・バージョン
- miChecker 3.1.0以前の全てのバージョン
推奨される対策
- miChecker バージョン3.1.1以降へ更新する。
- 総務省の案内では、対象バージョンを利用している場合はいったんアンインストールしたうえで、対策版を再インストールする。
- 信頼できない字幕ファイルを開かない運用を徹底し、外部から受け取ったファイルの取り扱いを制限する。
- 必要に応じて、該当機能の利用範囲を限定し、入手元が不明なファイルを扱う環境を分離する。
日本の中小企業が今すぐ取るべき行動
- 最優先：社内でmiCheckerを利用している端末とバージョンを確認し、3.1.0以前が残っていないか棚卸しする。
- 次に：保守担当者またはベンダーの案内に従い、3.1.1以降への更新または再インストールを進める。
- 暫定対応：更新までの間は、外部から入手した字幕ファイルの確認作業を避け、取り扱い対象を限定する。
- 確認：利用端末で不審な通信や想定外のファイルアクセスがないか、ログや運用記録を点検する。
CSRIからの現場アドバイス
実際の診断では、XMLを扱う機能の初期設定がそのまま残っており、外部実体参照の制御が不十分なケースでXXEが見つかることがあります。今回のようにファイル取込や字幕表示の機能が対象になる場合は、更新だけでなく、信頼できない入力を受け付けない運用への切り替えが重要です。
まずmiCheckerの利用有無とバージョンを確認し、字幕ファイルを扱う業務がある部署を洗い出してください。次に、更新手順と適用時期を決め、対策版への移行が完了するまで外部提供ファイルの取り扱いを制限してください。
参照: miCheckerにおけるXML外部実体参照（XXE）に関する脆弱性
参考：公式情報・アドバイザリ
- CVE-2026-14304: NVD (NIST) / JVN検索
上記は本記事に関連する公式セキュリティ情報です。詳細は各機関の公式サイトをご確認ください。