• ひとことでGNU Bash で、細工した環境変数から命令を実行される弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることBash の版とパッチの番号を確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2014-6278
製品GNU GNU Bash
深刻度（CVSS）8.8 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2025-10-02
米国政府機関の対応期限2025-10-23
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-78（OSコマンドインジェクション）

何が起きた

多くの Linux などで使われるシェル GNU Bash に、環境変数の中の関数の定義を正しく読み取れない弱点が見つかり、実際の悪用が確認されています。NVD に登録された CISA の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用でき、利用者の操作が必要とされています。細工した環境変数を Bash に渡すことで、攻撃者が選んだ任意の命令を実行されるおそれがあります。NVD によると、これは CVE-2014-6271、CVE-2014-7169、CVE-2014-6277 の修正が不十分だったために残った弱点です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. 値が環境変数として Bash に渡る → 3. Bash が関数の定義を誤って読む → 4. 任意の命令が実行される1攻撃者が細工した値を送る2値が環境変数として Bash に渡る3Bash が関数の定義を誤って読む4任意の命令が実行される攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. 値が環境変数として Bash に渡る → 3. Bash が関数の定義を誤って読む → 4. 任意の命令が実行される1攻撃者が細工した値を送る2値が環境変数として Bash に渡る3Bash が関数の定義を誤って読む4任意の命令が実行される攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. 値が環境変数として Bash に渡る → 3. Bash が関数の定義を誤って読む → 4. 任意の命令が実行される1攻撃者が細工した値を送る2値が環境変数として Bash に渡る3Bash が関数の定義を誤って読む4任意の命令が実行される

誰が影響を受ける

NVD の説明では、GNU Bash 4.3 の bash43-026 までが対象です。OpenSSH の ForceCommand、Apache HTTP Server の mod_cgi や mod_cgid、DHCP クライアントのスクリプトなど、外から受け取った値を環境変数として Bash に渡す仕組みが攻撃の入り口になります。

何をすればいい

GNU の公式の案内を確認してください。NVD の説明では bash43-026 までが影響を受けるとされ、その次のパッチ bash43-027 では、環境変数の中身だけで関数かどうかを判断しないよう、関数の受け渡し方が変えられています。GNU が公開している最新のパッチを当てた Bash に更新してください。

やることチェックリスト

  • Bash の版とパッチの番号を確認する
  • 最新のパッチを当てた Bash に更新する
  • bash43-026 以前の Bash を残さない

用語メモ

シェル 用語集で見る
利用者やプログラムが入力した命令を受け取り、コンピューターに実行させるソフトです。
環境変数 用語集で見る
プログラムに設定や情報を渡すために使う、名前と値の組のことです。
mod_cgi
Apache HTTP Server で、外部のプログラム（CGI）を動かして Web ページを作るための部品です。

次に読む

同じ製品・メーカーの脆弱性GNU InetUtils（CVE-2026-24061）9.8 緊急CVSS v3.1GNU InetUtils の telnetd で、ログインの確認を飛ばされる弱点同じ製品・メーカーの脆弱性GNU C Library（CVE-2023-4911）7.8 重要CVSS v3.1Linux の GNU C Library で、環境変数の処理から管理者の権限を奪われる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

GNU Bash OS Command Injection Vulnerability

概要

GNU Bash contains an OS command injection vulnerability which allows remote attackers to execute arbitrary commands via a crafted environment.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る