MENU
  1. ホーム
  2. CVE
  3. CVE-2026-73218 Cursorにおける権限昇格と任意コマンド実行の脆弱性解説とAIインフラ防御の最新対策

CVE-2026-73218 Cursorにおける権限昇格と任意コマンド実行の脆弱性解説とAIインフラ防御の最新対策

CVE
2026-cve ai-coding ai-security docker macos priv-esc
  • URLをコピーしました！

AI Security速報をXで配信しています!!

AI/LLM関連の脆弱性、PoC、KEV追加などの更新情報を見逃したくない方は、Xをフォローしてねー!

Xでフォローする

本記事は公開時点の情報をもとにした速報記事です。内容が更新される場合があるため、必要に応じてベンダー公式情報や一次情報もあわせて確認してください。

目次

結論

  • 危険度: 情報なし
  • 対象: (詳細はベンダーアドバイザリ参照)
  • 修正: ベンダーアドバイザリ参照
  • KEV: No (NVD Critical由来。CISA KEVには未登録)
タイトルの緊急度プレフィックス（【至急】【最重大】等）の意味
表記 条件 意味 対応目安
【至急/ランサム悪用】 CISA KEV登録 + ランサムウェア悪用観測 ランサムグループが現在進行形で悪用 本日中に対応開始
【至急/重大】 CISA KEV登録 + CVSS 9.0以上 実世界で攻撃観測あり + スコア極めて高い 本日中に対応開始
【重大/KEV登録】 CISA KEV登録(CVSS低またはNVD未反映) 実世界で攻撃観測あり 数日以内
【最重大】 CVSS 9.5以上(KEV未登録) 理論上の危険度ほぼ満点、攻撃観測はまだない 1週間以内に対応計画
【重大】 CVSS 9.0〜9.4(KEV未登録) Critical帯の理論的高リスク 1〜2週間以内
【高】 CVSS 7.0〜8.9(KEV未登録) High帯のリスク 計画的に対応
(プレフィックスなし) CVSS 7.0未満 Medium以下のリスク 通常メンテで対応

「至急」と「最重大」の違い: 「至急」は CISA(米国政府機関)が 実際に悪用を観測した CVEに付与されます。「最重大」は CVSS スコア上は最高峰だが、まだ悪用観測がない ものです。同じCVSS 9.8でもKEV登録の有無で扱いが変わります。

最終更新: 2026-08-11 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP やること かかる目安
STEP 1 何が起きているか理解する 3分
STEP 2 急ぎ対応すべきか判断する 3分
STEP 3 自分の環境が対象か確認する 5分
STEP 4 修正を適用する 環境による
STEP 5 修正されたことを確認する 3分

STEP 1: 何が起きているか

一言でいうと

CVE-2026-73218は、CursorというAI向けコードエディタのmacOS版で、バージョン3.0.0未満に存在する脆弱性です。攻撃者はDocker DesktopとDev Containers CLIがインストールされている環境で、権限の高いコンテナを起動し、ユーザーのホームディレクトリを読み書きできるようにします。さらに、ユーザーの権限でホスト上のコマンドを追加の許可なしで実行可能です。LLM ProxyやAgentフレームワーク運用者、そしてCursorなどのAI駆動開発ツール利用者にとって最優先の対応が必要です。

やさしく説明すると

Imagine your computer’s front door is supposed to be locked, but because of this問題, a special guest inside the house (CursorのAgent) can quietly open a garage door (Dockerの特権コンテナ) connected to your house. That guest can enter your private areas (ホームディレクトリ) freely and use your house’s tools (コマンド実行) without asking you first. This can putあなたのプライベート情報や作業データを危険にさらします。

技術的な原因

この脆弱性はCWE-269「不適切な特権管理」が原因です。つまり、プログラムが必要以上の権限でコンテナを起動し、そのアクセス制限を正しく設定していません。Cursor IDEがAuto-Run SandboxモードでDocker DesktopおよびDev Containers CLIと連携して動作する際に、特権コンテナを不適切に起動し、virtiofs0をマウントしてホストのホームディレクトリに対する読み書き権限を与えます。その結果、攻撃者はユーザー権限でホスト上のコマンドを追加の許可なしに実行できます。

影響を受けると何が困るか

  • APIキー（OpenAIやAnthropicなど）が漏洩し、認証が乗っ取られる
  • LLMのコンテキスト情報や顧客データを窃取される
  • Prompt Injection（プロンプトインジェクション）を介してAgentを乗っ取られ、悪意ある操作が可能になる
  • モデルやRAG（検索拡散型生成）データの改ざんリスクが高まる
  • 請求コストが爆発的に増加してしまう
  • テナント間で情報漏洩が起きる危険性がある
  • インフラ全体への侵入拡大（横展開）が可能になる
  • AIコーディングツール（Cursor/Cline等）を通じてローカルファイルの読み取りや任意コード実行がされる
  • IDE拡張のリモート操作を悪用される
  • .envファイルや認証情報の漏洩でさらなる被害が拡大

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

カテゴリ 情報源 言語 何が分かるか リンク
総合 NVD（米国 NIST） 英 米国政府の脆弱性データベース。CVSSスコア、影響を受けるCPE、参考リンクの総合ハブ。最も網羅的。 開く
総合 MITRE CVE 英 CVE採番機関の公式記録。CVE記述の「正本」。NVDより記載が簡潔だが一次情報。 開く
総合 JVN iPedia（JPCERT/CC・IPA） 日 日本のCSIRTが運用する脆弱性対策情報データベース。日本語で概要・対策が読める。掲載がない場合あり。 開く
総合 CISA KEV（悪用観測カタログ） 英 米国CISAが実際に悪用を確認している脆弱性のカタログ。掲載されていれば最優先で対応。 開く
総合 GitHub Advisory Database 英 OSSパッケージ（npm/pypi/maven/composer/go等）別の脆弱性アドバイザリ。修正PRへのリンクが豊富。 開く
総合 OpenCVE 英 複数CVEデータベースの集約検索サービス。タイムラインや関連CVEの俯瞰に有用。 開く
Linux Red Hat CVE 英 Red Hat製品（RHEL/CentOS Stream/Rocky/AlmaLinux系）の影響評価とパッチ状況。 開く
Linux Ubuntu Security 英 Ubuntu の影響評価。各Ubuntuバージョン（22.04/24.04等）でのパッチ提供状況が一目で分かる。 開く
Linux Debian Security Tracker 英 Debian の影響評価。stable/testing/sid別のパッチ状況。Debian派生ディスト利用者向け。 開く
Linux SUSE CVE 英 SUSE Linux Enterprise / openSUSE の影響評価とパッチ状況。 開く
悪用 Exploit Database 英 公開エクスプロイトのアーカイブ。検出ツールやペネトレーションテストでの参照用。 開く
悪用 Packet Storm Security 英 セキュリティアドバイザリ・エクスプロイトの集約サイト。古めの情報も含む。 開く
悪用 GitHub PoC 検索 英 GitHubコード検索でCVE IDを直接検索。野良PoCの早期発見に。 開く
悪用 X（Twitter）検索 日英 直近の議論やニュースを観測。In-the-wild悪用の早期検知に有用。 開く
スキャナ Snyk Vulnerability DB 英 パッケージ別の脆弱性詳細と修正バージョン。OSS依存ライブラリ追跡に有用。 開く
スキャナ Tenable（Nessus） 英 Nessusスキャナでの検出プラグイン情報。検出ロジックの参考に。 開く
スキャナ Rapid7（Metasploit/Nexpose） 英 Metasploit悪用モジュール、Nexposeでの検出情報。 開く

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

  • CVSSスコアは現状未公開。脆弱性は重大だが具体的なスコア評価は不明
  • EPSSスコアは未提供。直近の悪用予測データなし
  • ランサムウェア悪用状況は不明。現時点で悪用報告なし
  • 公開PoCコードや実証ツールはGitHub上に存在しない
  • 攻撃にはDocker DesktopとDev Containers CLIのインストールが前提であり、ユーザーレベルの操作なしで実行可能なので潜在的リスクあり

誰が動くべきか

  • AIコードエディタCursorのmacOSユーザー
  • Cursorを利用したバイブコーダー開発者
  • AI GatewayやAgentフレームワークを運用するSRE/SecOpsチーム（特にDocker Desktop環境）
  • LLM ProxyやAgenticシステム管理者
  • AI駆動開発環境における開発・運用担当者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

製品 脆弱なバージョン範囲 修正版
Cursor IDE for macOS 〜2.x系（3.0.0未満） 3.0.0以降

バージョン確認コマンド

macOS（Cursor IDE）

ls /Applications | grep -i cursor

出力例:

Cursor.app

判定: Cursorが存在すれば、次にアプリ内のバージョンをメニューや「アプリ情報」から確認してください。

macOS（Cursor バージョン確認 via コマンドライン）

defaults read /Applications/Cursor.app/Contents/Info CFBundleShortVersionString

出力例:

2.9.5

判定: 3.0.0 未満なら脆弱。3.0.0 以上なら安全。

設定確認

この脆弱性は「Auto-Run SandboxモードでDocker DesktopとDev Containers CLIがインストールされている」という設定依存条件が必須です。該当設定が有効かをCursorの設定メニューまたはドキュメントで確認してください。これらの環境がない場合は脆弱性は発現しません。

しかし、設定依存型のため対象バージョンかつ有効設定であれば必ず脆弱です。

Nucleiテンプレートでの検出

現時点でCVE-2026-73218に対応した公開Nucleiテンプレートはありません。バージョン確認による検出を推奨します。

STEP 4: 修正を適用する

パッチ適用

macOS（Cursor IDEアップデート）

# 1. Cursorアプリのアップデートを公式サイトまたはApp Storeから入手
# 2. 既存のCursor.appを終了し、バックアップを取得
# 3. 新バージョン（3.0.0以上）をインストールし起動確認

判定: Cursorバージョンが 3.0.0 以上なら修正済み。

注意: アップデート前に必ず重要なプロジェクトや設定のバックアップを取得してください。企業環境の場合は、社内検証環境での動作確認を推奨します。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は現時点では提供されていません。暫定的には、Cursor IDEのAuto-Run Sandboxモードを無効にする、Docker DesktopやDev Containers CLIを削除または権限制限する方法が考えられます。ただし、これらはUXを損なうため注意が必要です。

STEP 5: 修正されたことを確認する

STEP 3 で使用したバージョン確認コマンドを再度実行し、Cursorのバージョンを必ず確認してください。

期待される出力

macOS（バージョン確認）

defaults read /Applications/Cursor.app/Contents/Info CFBundleShortVersionString

修正後の安全な状態での出力例:

3.0.0

判定: バージョンが 3.0.0 以上ならOK。

追加で確認すべきこと

  • 最新版適用後はログ監視を強化し、不審なコンテナ権限操作やホストコマンド実行の痕跡を分析してください。
  • 可能であれば、Nucleiなどの脆弱性スキャナによる定期チェックを導入しましょう。

補足: 悪用観測状況

現時点でCVE-2026-73218に関する悪用の報告やランサムウェアグループによる確認はありません。GitHub上にも公開PoCやExploitコードは存在していません。

しかしDocker DesktopとDev Containers CLIが前提のため、標準的でない環境でも潜在的リスクが残ります。引き続き公式情報をウォッチしてください。

補足: CVSSメトリクス詳細

  • AV (Attack Vector)： 攻撃の起点。ネットワーク、隣接ネットワーク、ローカル、物理など
  • AC (Attack Complexity)： 攻撃の難易度。低いほど簡単
  • PR (Privileges Required)： 攻撃成功に必要な権限
  • UI (User Interaction)： 攻撃にユーザーの操作が必要か
  • S (Scope)： 権限範囲の変更の有無
  • C (Confidentiality)： 機密性への影響度合い
  • I (Integrity)： 完全性への影響度合い
  • A (Availability)： 可用性への影響度合い

本件はCVSS情報が未公開のため詳細は不明です。

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. Cursorのバージョンが3.0.0以上であることを確認し、未満の場合は最新版へアップデートしてください。STEP 3～5を必ず実施してください。

Q. パッチが適用できない場合、どうすればよいですか？

A. CursorのAuto-Run Sandboxモードを無効化するか、Docker DesktopやDev Containers CLIの利用を制限・権限管理してください。公式の暫定対応は未公開です。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. 公式のIOCは現時点で公開されていません。ログ監視で不審なDocker特権コンテナの起動やホームディレクトリの異常アクセスを重点的に確認してください。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは脆弱性の技術的な深刻度を示しますが、EPSSは実際に悪用される確率を示します。両方を見て優先度判断することが実務上重要です。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-269「不適切な特権管理」に分類された類似脆弱性は過去にも存在します。Dockerやコンテナ関連の権限設定に注意が必要です。

参考文献

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

2026-08-12 追記

本記事の公開後、以下の重要な変化が確認されました（公開からの経過: 0日）。

項目 公開時点 2026-08-12時点 変化の意味
CVSSスコア変化 9 (Critical) 7.7 (HIGH) NVD再評価でスコアが下方修正
タイトルプレフィックス未付与 (プレフィックスなし) 【高】 公開時はタイトルに危険度プレフィックスが付いていない。最新状況では付与が妥当（記事生成時の凡ミス補正）

CVSSスコア変化

当初本脆弱性は「9 (Critical)」と評価されていましたが、その後NVDによる再評価が行われ、「7.7 (HIGH)」へと下方修正されました。これは想定されていたリスクが一部見直され、Critical帯からHigh帯のリスクに分類が変更されたことを意味します。技術的には攻撃の成立条件や影響範囲など追加情報によって本脆弱性の深刻度が再判定された可能性があります。運用上は最優先対応から一段階リスク低減となりますが、依然として「高リスク（HIGH）」であるため、修正パッチや回避策の適用は引き続き計画的かつ早期に行うことが推奨されます。

タイトルプレフィックス未付与

記事公開時点ではタイトルに危険度プレフィックス（「【高】」など）が付与されていませんでしたが、7.7 (HIGH) という最新のCVSSスコアに合わせて「【高】」プレフィックスの付与が妥当と判断されました。これは記事生成時の人的な記載漏れへの補正です。「【高】」プレフィックスは読者や関係者に対し、この脆弱性がHighレベルであり十分な注意・対応計画が求められることを視覚的に示す役割があります。運用現場では急を要する「Critical」帯ほどの即応性は必要ありませんが、「無視はできない重要度」として認識し、計画的な対応フローに組み込むことが望ましいです。

AI Security速報を継続配信しています!!

AI/LLM関連の脆弱性、PoC、KEV追加、海外アドバイザリなどを X で配信してるので、ぜひフォローをお願いします!

@ai_sec_news_256 をフォロー

CVE
2026-cve ai-coding ai-security docker macos priv-esc

この記事が気に入ったら
フォローしてね！

よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

関連記事

目次