CVE-2026-8461は、サードパーティ製ライブラリのFFmpegに存在するメモリ破損の脆弱性で、Qt Multimediaにも影響することが判明しました。以下に記載のQt Multimediaのバージョンには、Qt Multimedia FFmpegメディアバックエンドで使用される脆弱なバージョンのFFmpegが含まれています。Qt Multimediaをお使いの方は、アップデートしてください。
影響を受けるのは、FFmpegライブラリを同梱しているQtのバイナリ配布版のみです。Qtをソースからビルドする場合は、上流の修正を含まないFFmpegのバージョンにQt Multimediaをリンクしている場合に影響を受けます。
影響を受けるバージョン: Qt 6.8.0〜Qt 6.8.8、Qt 6.9.0〜Qt 6.11.1
Qt 6.8.0より前のバージョンへの影響は不明です。
影響: FFmpegバックエンドで細工されたメディアファイルを処理すると、アプリケーションがクラッシュする可能性があります。場合によっては、任意のコードが実行される恐れもあります。Qt Multimediaにおける悪用可能性はまだ特定されていないため、最悪のケースを想定してください。
CVSS 3.1スコア(上流): 8.8 / HIGH
ベクター文字列: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
緩和策: 今すぐQtをアップデートできない場合は、上流のセキュリティ修正を含むFFmpeg 7.1.5でアプリケーションが使用するFFmpegライブラリを再ビルドし、アプリケーションとともに再配布してください。Qtのバージョンを変更せずに対応できます。それまでは、信頼できない提供元のメディアファイルの再生や処理を避けてください。
対処法: Qt 6.8.9、またはQt 6.11.2以降にアップデートしてください。どちらも同梱のFFmpeg 7.1.5を含んでいます。
