楽天Kobo Windows版インストーラーに脆弱性｜古いセットアップファイルは削除を【CVE-2026-68955】

楽天KoboデスクトップアプリのWindows版インストーラーに、悪意あるプログラムを実行される可能性がある脆弱性が見つかりました。

対象は2026年7月15日より前に配布されたインストーラーで、2026年8月27日にCVE-2026-68955として公表されています。CVSS v4の基本値は8.4（重要）です。

問題があるのはアプリ本体ではなく、細工されたDLLと古いインストーラーが同じフォルダーにある状態で、そのインストーラーを起動する場面です。

この記事の結論

• 影響を受けるのは、2026年7月15日より前に配布された楽天KoboデスクトップアプリのWindows版インストーラー
• インストール済みのKoboアプリを通常利用するだけでは、今回の脆弱性の対象にならない
• すでにインストール済みの場合、アンインストールや再インストールは不要
• 保存してある古いインストーラーは削除し、必要になった時点で公式サイトから最新版を入手する
• 古いインストーラーを実行しただけで感染したとは限らず、悪意あるDLLが同じフォルダーに存在することも攻撃成立の条件

楽天Kobo Windows版インストーラーの脆弱性とは

今回公表された内容は次のとおりです。

項目	内容
対象製品	楽天Koboデスクトップアプリ（Windows版）のインストーラー
影響を受けるもの	2026年7月15日より前に配布されたインストーラー
脆弱性	ファイル検索パスの制御不備（CWE-427）
CVE	CVE-2026-68955
CVSS v4	8.4（重要）
CVSS v3	7.8（重要）
想定される影響	インストーラーを実行した利用者の権限で任意のコードを実行される可能性
対策	最新のインストーラーを使用する

JVNによると、古いインストーラーにはDLLを読み込む際の検索パスに問題があります。そのため、特定の名前を持つ悪意あるDLLがインストーラーと同じフォルダーに置かれていると、Windows内の正規DLLではなく、そちらを読み込んでしまう可能性があります。

DLLは、Windowsアプリが処理を行うために利用する部品のようなファイルです。今回の問題を簡単に言えば、インストーラーが正規の部品を使うべき場面で、同じフォルダーに置かれた偽の部品を誤って使ってしまう可能性があるということです。

悪用に成功すると、インストーラーを起動したユーザーの権限で任意のコードが実行されます。ファイルの閲覧や改ざん、マルウェアの実行などにつながる可能性があるため、CVSS v4では8.4と高く評価されています。

Koboアプリを起動しただけで攻撃される問題ではない

今回の脆弱性で最も重要なのは、Koboデスクトップアプリ本体ではなく、古いインストーラーの起動時が対象だという点です。

攻撃が成立するには、少なくとも次の条件が必要です。

1. 影響を受ける古いインストーラーがある
2. 細工された特定のDLLがインストーラーと同じフォルダーにある
3. 利用者がそのインストーラーを起動する

インターネットに接続しているだけで攻撃される脆弱性でも、電子書籍を開くだけで悪用される脆弱性でもありません。

JVNも、本脆弱性はインストーラーの起動時のみ悪用可能と案内しています。

なお、今回の公表対象はWindows版のインストーラーです。開発元によると、macOS版には影響がないとのことです。

CVSS 8.4でも「誰でも直ちに攻撃される」という意味ではない

CVSS v4の8.4という数字を見ると、Koboを使っているだけで危険なのではないかと不安になるかもしれません。

この評価が高いのは、攻撃が成立した場合に、機密性・完全性・可用性へ大きな影響が及ぶ可能性があるためです。一方、JVNの評価では攻撃元区分は「ローカル」で、利用者がインストーラーを起動する能動的な操作も必要です。

つまり、次の2点を分けて考える必要があります。

• 攻撃が成功した場合の影響は大きい
• ただし、悪意あるDLLの配置と古いインストーラーの起動が必要であり、遠隔から自動的に攻撃されるわけではない

危険度を過小評価する必要はありませんが、攻撃条件を踏まえて過度に不安になる必要もありません。

また、開発元のRakuten Koboは、現時点でこの脆弱性が実際に悪用された兆候や形跡は確認されていないと説明しています。

古い楽天Koboのセットアップファイルは削除すべき？

古いインストーラーを今後使う予定がないなら、手元へ残しておく必要はありません。

インストール済みのアプリは更新されても、パソコン内に保存したインストーラーが自動的に安全なものへ置き換わることは通常ありません。数か月後やパソコンの買い替え時に古いセットアップファイルを再利用すると、脆弱なインストーラーを再び起動してしまう可能性があります。

特に確認したい保存場所は次のとおりです。

• 「ダウンロード」フォルダー
• デスクトップ
• USBメモリーや外付けSSD
• NASや共有フォルダー
• OneDriveなどへ保存した過去のセットアップファイル

ファイルの配布時期や安全性を判断できない場合は、次に必要になった時点で楽天Koboの公式サイトから最新版をダウンロードする方法が確実です。

楽天Kobo利用者が行う対策

すでにKoboをインストールしている場合

今回の問題への対応対象は、アプリ本体ではなく手元に保存したインストーラーです。再インストール用として古いファイルを残している場合は整理してください。

これからKoboをインストールする場合

保存済みのセットアップファイルを使い回さず、楽天Koboの公式ダウンロードページから最新のインストーラーを入手してください。

より安全に実行するなら、ほかのダウンロードファイルが混在する「ダウンロード」フォルダーから直接起動せず、新しく作成した空のフォルダーへインストーラーだけを移動してから起動する方法も有効です。JVNも、インストーラーと同じディレクトリに不審なファイルがないことを確認するか、新たに作成した一時ディレクトリから実行する対策を案内しています。

インストール後、再利用する予定がなければインストーラーは削除して構いません。

古いインストーラーをすでに実行した場合

古いインストーラーを実行しただけで、直ちにマルウェアへ感染したことを意味するわけではありません。攻撃には、細工されたDLLが同じフォルダーに置かれている必要があります。

公式サイトから単独でダウンロードしたインストーラーを実行し、不審なDLLが同じ場所になかったのであれば、今回想定されている攻撃条件はそろっていません。

一方、出所不明の圧縮ファイルから取り出した場合や、同じフォルダーに見覚えのないDLLがあった場合は、Windows セキュリティでスキャンしてください。不審な動作がある場合や、仕事用パソコンで実行した場合は、組織のIT管理者へ相談しましょう。

「昔ダウンロードしたインストーラーの使い回し」が危険な理由

インストーラーは一度使った後も、ダウンロードフォルダーへ残りがちです。しかし、古いインストーラーには次の問題があります。

• 後から判明した脆弱性が修正されない
• ファイル名だけでは対策済みか判断しにくい場合がある
• アプリ本体を更新しても、保存済みのインストーラーは更新されない
• さまざまなファイルが混在するダウンロードフォルダーでは、不審なDLLと同じ場所になる可能性がある
• USBメモリーやNASへ保存すると、数年後にも再利用してしまいやすい

すべての古いインストーラーが危険というわけではありません。ただし、メーカーが最新版を配布しているソフトは、必要なときに公式サイトから取り直す方が安全です。

業務上、インストーラーを保管する必要がある場合は、配布元、取得日、バージョン、ハッシュ値、デジタル署名を記録し、一般のダウンロードファイルとは分けて管理するのが望ましいでしょう。

LINE PC版でも同種の脆弱性、サクラエディタは別タイプ

2026年には、Windowsアプリに関する脆弱性が相次いで公表されています。

公表日	製品	CVE	内容	対策
2026年8月27日	楽天Koboデスクトップアプリ	CVE-2026-68955	古いWindows版インストーラーのDLL検索パス不備	最新インストーラーを使用
2026年8月10日	LINE PC版	CVE-2026-13133	バージョン26.4.0未満のWindows版インストーラーに同種のDLL検索パス不備	26.4.0以降へ更新
2026年7月15日	HYPER SBI 2	CVE-2026-42936	バージョン3.20.0未満のインストーラーに同種のDLL検索パス不備	3.20.0以降を使用
2026年8月24日	サクラエディタ	CVE-2026-59561	「ターミナルを起動」機能にOSコマンドインジェクション	2.4.3以降へ更新

LINE PC版とHYPER SBI 2は、楽天Koboと同じ「ファイル検索パスの制御不備（CWE-427）」です。

一方、サクラエディタで公表されたCVE-2026-59561は、細工された名前のフォルダーにあるファイルを編集中に「ターミナルを起動」機能を使うことで、任意のOSコマンドが実行される可能性がある問題です。こちらはインストーラーのDLL読み込み脆弱性ではないため、同じ問題として混同しないよう注意してください。

相次ぐ公表から分かるのは、アプリ本体だけでなく、インストーラーや更新用ファイルも安全な最新版を使う必要があるということです。

よくある質問

楽天Koboをアンインストールする必要はありますか？

ありません。今回の対象は古いWindows版インストーラーの起動時です。

Koboを普段起動するだけでも危険ですか？

今回公表された脆弱性は、Koboアプリ本体の通常起動を対象にしたものではありません。古いインストーラーと細工されたDLLが同じフォルダーにある状態で、利用者がインストーラーを起動する必要があります。

古いインストーラーを保存しているだけで攻撃されますか？

保存しているだけでは、この脆弱性は悪用されません。ただし、後日誤って実行する可能性があるため、不要なら削除するのが安全です。

インストーラーが対策済みか分からない場合はどうすればよいですか？

手元のファイルを使わずに削除し、楽天Koboの公式サイトから最新のインストーラーを再ダウンロードしてください。

Mac版やスマートフォン版も対象ですか？

今回の影響対象は、楽天KoboデスクトップアプリのWindows版インストーラーです。開発元によるとmacOS版には影響がなく、iPhone版とAndroid版も今回の公表対象には含まれていません。

まとめ：Koboはそのまま利用可能、古いインストーラーだけ整理しよう

楽天KoboデスクトップアプリのWindows版では、2026年7月15日より前に配布されたインストーラーにDLL読み込みの脆弱性が確認されました。問題となるのは古いインストーラーの起動時であり、必要になったときは保存済みのファイルを使い回さず、公式サイトから最新版を入手することが確実な対策です。

参考情報

• JVN#18593874：楽天Koboデスクトップアプリ（Windows版）のインストーラにおけるDLL読み込みに関する脆弱性
• JVN iPedia：JVNDB-2026-000110
• 楽天Kobo：重要なセキュリティ情報－「楽天Koboデスクトップアプリ」のインストーラー
• 楽天Kobo：Kobo Desktop
• JVN：Windows アプリケーションによるDLL読み込みやコマンド実行に関する問題
• JVN#40467227：LINE PC版（Windows版）のインストーラにおけるDLL読み込みに関する脆弱性
• JVN#59875262：HYPER SBI 2のインストーラにおけるDLL読み込みに関する脆弱性
• JVN#74538868：サクラエディタにおけるOSコマンドインジェクションの脆弱性
• Microsoft：Windows セキュリティで項目をスキャンする