組み込みデバイス向けファイルシステム「FatFs」に未修正の脆弱性、AI活用の検証で発覚

要点

• セキュリティ企業runZeroが、組み込みデバイス向けファイルシステム「FatFs」の脆弱性7件を公表した。
• 影響は防犯カメラやドローン、産業用コントローラー、ハードウェアウォレットなど数百万台規模に及ぶ。
• 脆弱性のうち修正されたのは1件のみで、メモリ破損など深刻なバグを含む6件は未修正のままである。
• 開発者と連絡が取れないため公式パッチはなく、各ベンダーによる個別対応が必要となる。
• 検証にはGitHub Copilot等のAIツールが使用され、手動監査で見落とされていたバグが発見された。

リード文

セキュリティ企業の米runZeroは2026年7月、多くの組み込みデバイスで採用されている軽量ファイルシステムライブラリ「FatFs（ファットエフエス）」に、7件の脆弱性が存在することを明らかにした。悪意のあるUSBドライブやSDカードを接続されることで、メモリ破損や任意のコードを実行される恐れがある。7件のうち6件は本家で未修正の状態であり、デバイスを開発する各ベンダーによる個別対応が求められている。

本文

広範囲に影響するライブラリ「FatFs」の危機

FatFsは、USBやSDカードのFAT/exFAT形式ファイルを読み書きする組み込み用の軽量ファイルシステムライブラリである。サイズが極めて小さいため、リアルタイムOS（即時性が必要な制御用OS）を搭載した防犯カメラ、ドローン、産業用コントローラー、暗号資産ウォレットなど数百万台のデバイスのファームウェア（機器制御ソフトウェア）に採用されている。

多くの組み込みデバイスはPCのようなメモリ保護機能（不正な書き換えを防ぐ機構）を欠く。runZeroは「物理的アクセスがあれば容易にジェイルブレイク（管理者権限を奪うこと）が可能になる」と指摘しており、公共キオスクやATM、投票機などに不正な記憶媒体が差し込まれると制御権が奪われる恐れがある。

判明した7件の脆弱性とその詳細

公表された脆弱性は、意図的に改ざんされた記憶媒体やアップデートファイルをデバイスが読み込む際、FatFsが異常データを誤処理することに起因する。runZeroの評価（CVSSスコア）は「中」から「高」であり、「緊急」に該当するものはない。

公表された脆弱性は以下の7件である。

• CVE-2026-6682（CVSS 7.6）：FAT32マウント時の整数オーバーフロー（計算結果が上限を超える現象）。ファイルサイズ誤認からメモリ破損やコード実行を招く恐れがある。
• CVE-2026-6687（CVSS 7.6）：exFATのボリュームラベルがバッファサイズを超え、メモリ破損を引き起こす。
• CVE-2026-6688（CVSS 7.6）：長いファイル名が、元のコードを包む「ラッパーコード」をオーバーフローさせる。
• CVE-2026-6685（CVSS 6.1）：断片化したボリュームのキャッシュ処理で数値が丸められ、データが警告なく破損する。
• CVE-2026-6683（CVSS 4.6）：exFAT処理でのゼロ除算（ゼロで割る計算）。デバイスをクラッシュさせ、アップデート中なら機器が動作不能になる恐れがある。
• CVE-2026-6686（CVSS 4.6）：ファイルを末尾を超えて拡張した際、過去に削除されたファイルからの残留データが漏洩する。
• CVE-2026-6684（CVSS 4.6）：改ざんされたGPTパーティションテーブル（ディスク区切り情報のマップ）の読み込み時にハングアップする。本家「FatFs R0.16」で唯一修正済み。

開発者との連絡が途絶え、個別対応が必須に

問題の解決を難しくしているのがFatFsのメンテナンス体制である。同ライブラリは個人開発者1人が維持しており、runZeroや日本のJPCERT/CC（情報セキュリティ対策推進の調整組織）が繰り返し連絡したものの返答は得られなかったという。

そのため、GPTのバグ（CVE-2026-6684）を除く脆弱性には公式パッチが存在しない。セキュリティメーリングリストもないため各メーカーが影響を把握しにくく、機器を製造するベンダーが個別にパッチを適用する必要がある。

影響を受けるプラットフォームには、EspressifのESP-IDF、STMicroelectronicsのSTM32Cube、Zephyr、MicroPython、ArduPilot、RT-Thread、Mbed、サムスンのTizenRT、SWUpdateなどがある。

現時点で悪用事例は報告されていないが、runZeroは実証コード（PoC）や検証用テストハネス、QEMU（エミュレーター）で動作する悪用例を公開している。

対策と脆弱性発見におけるAIツールの役割

runZeroは開発ベンダーに対し、FatFsのコードと周囲のラッパーコードを監査してパッチを適用するよう推奨する。デバイス管理者には物理ポートの接続制限や監視を求める。

本件では脆弱性の発見にAI（人工知能）ツールが貢献した点も注目される。runZeroは2017年の手動監査でバグを見つけられなかったが、2026年3月にVS CodeやGitHub Copilotの自動モードと単純な指示（プロンプト）を用いた再監査を実施した。

AI（大規模言語モデル）は、異常データを大量入力してバグを探す「ファザー」と呼ばれるテストツールを生成し、手動で見落とされた脆弱性を検出した。これは近年のトレンドであり、2024年のGoogle「Big Sleep」によるSQLiteのバグ発見や、先月のFFmpegにおける21件の脆弱性検出と同様の流れである。