B
今週中
JupyterLab Desktopの脆弱性（CVE-2026-86044）により、攻撃者が作成した悪意のあるリンクをユーザーがクリックすると…
📌 一言でいうと
JupyterLab Desktopの脆弱性（CVE-2026-86044）により、攻撃者が作成した悪意のあるリンクをユーザーがクリックすると、ローカルサーバーのURLと認証トークンが漏洩する可能性があります。攻撃者はこの情報を利用してJupyter REST API経由で任意のコードを実行させることが可能です。この問題はバージョン4.6.2-1で修正されています。
🔍該当判定
- PCにインストールして利用しているアプリが『JupyterLab Desktop』である
- JupyterLab Desktopのバージョンが『4.6.2-1』より古い
- 外部から送られてきた、または信頼できない出所の『ノートブックファイル(.ipynb)』を開いて利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
JupyterLab Desktopを最新バージョン（4.6.2-1以降）にアップデートしてください。
📧 メール案を見る (社員向け + 管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】JupyterLab Desktopをご利用の方へ：アップデートのお願い
お疲れさまです。情報システム担当です。
データ分析ツール「JupyterLab Desktop」に、悪意のあるリンクをクリックすることでPCを不正に操作される可能性がある深刻な脆弱性が発見されました。
ご協力をお願いしたいこと:
1. JupyterLab Desktopを利用している方は、速やかに最新バージョン（4.6.2-1以降）へアップデートしてください。
2. 心当たりのないノートブックや、信頼できない送信元からのリンクはクリックしないようご注意ください。
対応期限: 本日中
お疲れさまです。情報システム担当です。
データ分析ツール「JupyterLab Desktop」に、悪意のあるリンクをクリックすることでPCを不正に操作される可能性がある深刻な脆弱性が発見されました。
ご協力をお願いしたいこと:
1. JupyterLab Desktopを利用している方は、速やかに最新バージョン（4.6.2-1以降）へアップデートしてください。
2. 心当たりのないノートブックや、信頼できない送信元からのリンクはクリックしないようご注意ください。
対応期限: 本日中
Subject: [Urgent] Update Required for JupyterLab Desktop Users
Hi everyone,
A critical security vulnerability has been identified in JupyterLab Desktop that could allow an attacker to execute unauthorized code on your computer if you click a malicious link.
Action required:
1. Please update JupyterLab Desktop to the latest version (4.6.2-1 or later) immediately.
2. Avoid clicking links in notebooks from untrusted sources.
Deadline: End of today
Hi everyone,
A critical security vulnerability has been identified in JupyterLab Desktop that could allow an attacker to execute unauthorized code on your computer if you click a malicious link.
Action required:
1. Please update JupyterLab Desktop to the latest version (4.6.2-1 or later) immediately.
2. Avoid clicking links in notebooks from untrusted sources.
Deadline: End of today
件名: 【共有】JupyterLab Desktop CVE-2026-86044 対応について
お疲れさまです。CVE-2026-86044に関する情報共有です。
■ 概要
JupyterLab Desktopにおいて、rendererがgetServerInfoを適切に検証せず、攻撃者が用意したサイトへ遷移させた際に認証トークン等を窃取される脆弱性が確認されました（CVSS 9.6）。窃取したトークンを用いてJupyter REST API経由で任意のコードを実行される恐れがあります。
■ 影響範囲
- JupyterLab Desktop 4.6.2-1 未満
- (JupyterLab 4.4.8 以降を使用している環境は、リンクハンドリングの修正により本攻撃チェーンの第一段階が遮断されるため影響を受けません)
■ 対応手順
1. 利用ユーザーに対し、JupyterLab Desktopを 4.6.2-1 以降にアップデートさせる。
2. 組織内で利用されているバージョンの棚卸しと更新確認を行う。
■ 参考情報
- NVD CVE-2026-86044
対応優先度: 高
対応期限: 速やかに
お疲れさまです。CVE-2026-86044に関する情報共有です。
■ 概要
JupyterLab Desktopにおいて、rendererがgetServerInfoを適切に検証せず、攻撃者が用意したサイトへ遷移させた際に認証トークン等を窃取される脆弱性が確認されました（CVSS 9.6）。窃取したトークンを用いてJupyter REST API経由で任意のコードを実行される恐れがあります。
■ 影響範囲
- JupyterLab Desktop 4.6.2-1 未満
- (JupyterLab 4.4.8 以降を使用している環境は、リンクハンドリングの修正により本攻撃チェーンの第一段階が遮断されるため影響を受けません)
■ 対応手順
1. 利用ユーザーに対し、JupyterLab Desktopを 4.6.2-1 以降にアップデートさせる。
2. 組織内で利用されているバージョンの棚卸しと更新確認を行う。
■ 参考情報
- NVD CVE-2026-86044
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] JupyterLab Desktop CVE-2026-86044
Hi team,
This is a technical alert regarding CVE-2026-86044.
■ Overview
JupyterLab Desktop fails to verify the local Jupyter server origin before exposing getServerInfo to the renderer. An attacker can use a crafted MathJax link to redirect a victim to a malicious site, steal the local server URL and authentication token, and subsequently execute arbitrary code via the Jupyter REST API (CVSS 9.6).
■ Scope
- JupyterLab Desktop versions prior to 4.6.2-1
- Note: Environments already using JupyterLab 4.4.8 or later are not affected as the link handling fix breaks the attack chain.
■ Mitigation
1. Ensure all users update JupyterLab Desktop to version 4.6.2-1 or later.
2. Audit installed versions across the organization to ensure compliance.
■ Reference
- NVD CVE-2026-86044
Priority: High
Deadline: Immediate
Hi team,
This is a technical alert regarding CVE-2026-86044.
■ Overview
JupyterLab Desktop fails to verify the local Jupyter server origin before exposing getServerInfo to the renderer. An attacker can use a crafted MathJax link to redirect a victim to a malicious site, steal the local server URL and authentication token, and subsequently execute arbitrary code via the Jupyter REST API (CVSS 9.6).
■ Scope
- JupyterLab Desktop versions prior to 4.6.2-1
- Note: Environments already using JupyterLab 4.4.8 or later are not affected as the link handling fix breaks the attack chain.
■ Mitigation
1. Ensure all users update JupyterLab Desktop to version 4.6.2-1 or later.
2. Audit installed versions across the organization to ensure compliance.
■ Reference
- NVD CVE-2026-86044
Priority: High
Deadline: Immediate