動画を開くだけでPC乗っ取り？FFmpegの「PixelSmash」脆弱性をわかりやすく解説

本当だよ。「PixelSmash」というニックネームがついた脆弱性が2026年6月に公開されてね、FFmpegというソフトウェアに深刻なバグが見つかったんだ。

名前は知らなくてもみんな使ってるよ。VLCメディアプレーヤーやDiscord、Kodiなど多くのアプリが内部で使っているオープンソースのフレームワークなんだ。動画や音声ファイルを変換・処理する役割を担っているよ。

そう。しかも動画ファイルをフォルダで眺めるだけでも危ないんだよ。Windowsがサムネイルを自動生成するとき、裏でFFmpegを呼び出すことがあるから。

「ヒープオーバーフロー」という攻撃なんだ。悪意ある動画ファイルを処理するとき、プログラムがメモリの割り当て範囲を超えてデータを書き込んでしまう。そこから攻撃者が自分のコードを実行できるようになるんだよ。

技術的には「リモートコード実行（RCE）」といって、攻撃者がネット越しに被害者のPCで好きなコマンドを実行できる状態になるんだ。深刻さを示すCVSSスコアは8.8で「重大」に分類されているよ。

CVSSは脆弱性の深刻さを0〜10で数値化したものだよ。7以上が「高」、9以上が「緊急」で、8.8はかなり深刻なレベル。今回は攻撃者がユーザーに特別な操作をさせる必要なく、動画ファイルを処理させるだけで攻撃できてしまうから危険なんだ。

FFmpegを使うアプリをすぐ更新することが大切だよ。VLCは最新版に上げると良いし、FFmpeg本体も8.1.2で修正済みだね。知らない場所からダウンロードした動画ファイルは開かないことも大事だよ。

そうだよ。FFmpegはWebブラウザやチャットアプリ、メディアプレーヤーなど無数のソフトの「縁の下の力持ち」なんだ。こういう基盤ライブラリに脆弱性が出ると影響範囲が広いから、アップデート情報が出たらすぐ動く習慣をつけよう。