B
今週中
Pythonの画像処理ライブラリ「Pillow」に、細工されたEPS画像を通じて任意のOSコマンドを実行できる深刻な脆弱性（CVE-2026-112900）
📌 一言でいうと
Pythonの画像処理ライブラリ「Pillow」に、細工されたEPS画像を通じて任意のOSコマンドを実行できる深刻な脆弱性（CVE-2026-112900）が発見されました。この脆弱性は、PillowがGhostscriptにファイル名を渡す際の検証不足に起因します。影響範囲は非常に広く、Webアップロードフォームや機械学習プロジェクトなどで広く利用されています。対策として、最新バージョンである13.0.0へのアップデートが推奨されています。
🔍該当判定
- Pythonを使用して、Webサイトの画像アップロード機能やサムネイル作成機能を自社開発している
- Pythonの画像処理ライブラリ「Pillow」を、バージョン13.0.0未満で利用している
- サーバー上で「Ghostscript」をインストールし、EPS形式の画像ファイルを処理させている
- Pythonを用いた機械学習プロジェクトやPDF変換パイプラインを運用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
Pillowライブラリを最新バージョン（13.0.0以降）にアップデートしてください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Python Pillow ライブラリ CVE-2026-112900 対応について
お疲れさまです。Pillowライブラリの脆弱性に関する情報共有です。
■ 概要
Pythonで広く利用されている画像処理ライブラリ「Pillow」において、細工されたEPSファイルを読み込ませることで、OSコマンドを任意の実行させられる脆弱性が報告されました。Ghostscriptへのファイル名渡しにおける検証不備が原因です。
■ 影響範囲
- 対象製品: Pillow (Python Image Library)
- 修正済みバージョン: 13.0.0
■ 対応手順
1. 自社環境および利用しているアプリケーションの依存関係を確認し、Pillowのバージョンを特定してください。
2. Pillowをバージョン 13.0.0 以降にアップデートしてください。
■ 参考情報
- CVE-2026-112900
対応優先度: 高
対応期限: 速やかに
お疲れさまです。Pillowライブラリの脆弱性に関する情報共有です。
■ 概要
Pythonで広く利用されている画像処理ライブラリ「Pillow」において、細工されたEPSファイルを読み込ませることで、OSコマンドを任意の実行させられる脆弱性が報告されました。Ghostscriptへのファイル名渡しにおける検証不備が原因です。
■ 影響範囲
- 対象製品: Pillow (Python Image Library)
- 修正済みバージョン: 13.0.0
■ 対応手順
1. 自社環境および利用しているアプリケーションの依存関係を確認し、Pillowのバージョンを特定してください。
2. Pillowをバージョン 13.0.0 以降にアップデートしてください。
■ 参考情報
- CVE-2026-112900
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] Python Pillow Library CVE-2026-112900
Dear Team,
We are sharing information regarding a critical vulnerability in the Pillow image library.
■ Overview
A vulnerability (CVE-2026-112900) has been identified in Pillow that allows remote code execution (RCE) via specially crafted EPS images. This occurs due to insufficient validation when passing filenames to Ghostscript.
■ Scope
- Affected Product: Pillow (Python Image Library)
- Fixed Version: 13.0.0
■ Remediation Steps
1. Audit your environments and application dependencies to identify the current version of Pillow in use.
2. Update Pillow to version 13.0.0 or later immediately.
■ Reference
- CVE-2026-112900
Priority: High
Deadline: Immediate
Dear Team,
We are sharing information regarding a critical vulnerability in the Pillow image library.
■ Overview
A vulnerability (CVE-2026-112900) has been identified in Pillow that allows remote code execution (RCE) via specially crafted EPS images. This occurs due to insufficient validation when passing filenames to Ghostscript.
■ Scope
- Affected Product: Pillow (Python Image Library)
- Fixed Version: 13.0.0
■ Remediation Steps
1. Audit your environments and application dependencies to identify the current version of Pillow in use.
2. Update Pillow to version 13.0.0 or later immediately.
■ Reference
- CVE-2026-112900
Priority: High
Deadline: Immediate