【ITニュース解説】The Day FFmpeg Stopped: A Post-Mortem That Could Happen to You

FFmpegに発生した危機：世界を支える動画技術の脆弱性と、見過ごされてきた代償

ある火曜日の未明、多くのシステムエンジニアにとって悪夢のような事態が発生した。顧客から「動画変換パイプラインから破損した出力が生成される」という報告が入り、その数分後にはセキュリティ警告が発令された。「MagicYUVデコーダ」という、システムの中核を担うライブラリで「ヒープ境界外書き込み」という重大な脆弱性が発見されたのだ。これは、FFmpegという、世界中の動画・音声処理を支える非常に重要なソフトウェアの根幹部分「libavcodec」で発生した問題だった。

この脆弱性は「CVE-2026-8461」、通称「PixelSmash」と名付けられ、その危険度を示すCVSSスコアは8.8と非常に高い評価を受けた。libavcodecを利用しているあらゆるアプリケーション、例えば皆さんがよく使うVLCメディアプレーヤー、Google Chrome、そして動画配信サービスを支えるAWS Elemental、Jellyfin、Kodi、Plex、さらには数えきれないほどの組み込みデバイスがこの影響を受けた。これは架空の話ではなく、実際に起こった事態である。

では、具体的に何が壊れたのだろうか。2026年半ば、JFrog社のセキュリティ研究チームは、高性能な動画編集ワークフローで使われるMagicYUVデコーダに存在する、わずかな「丸め誤差」を発見した。この誤差を悪用することで、攻撃者は特別に細工した動画ファイルを使い、アプリケーションのメモリ領域を不適切に書き換える「ヒープ境界外書き込み」を引き起こすことが可能になった。結果として、そのファイルを処理したアプリケーションはクラッシュし、最悪の場合、攻撃者が遠隔からコンピュータ上で任意のプログラムを実行できる「リモートコード実行」という非常に危険な状態を招く可能性があったのだ。

この攻撃手法は驚くほど単純だった。攻撃者が被害者に「.avi」形式の動画ファイルを送りつけると、被害者のファイルマネージャーがそのファイルのサムネイルを自動的に生成する。このサムネイル生成の処理中に脆弱性が悪用され、システムが侵害されてしまうのだ。ユーザーがファイルをクリックしたり、特別な操作をしたりする必要は一切なかった。

この深刻な問題はFFmpeg 8.1.2で修正された。しかし、本当の問題はパッチが適用されたこと自体ではなく、誰がそのパッチを書いたのか、どれくらいの時間がかかったのか、そして誰がその費用を負担したのか、という点にあった。

この脆弱性を発見したのは、FFmpegプロジェクトのボランティアのメンテナーやコミュニティのメンバーではなく、専門のセキュリティ予算を持つ企業、JFrogのセキュリティ研究チームだった。脆弱性はFFmpegのコードベースにどれくらいの期間存在していたかは不明だが、JFrogが特定するまで見過ごされていた。パッチは8.1.2に間に合ったものの、問題の評価、再現、そして修正には、もともと多忙を極めていたボランティアのメンテナーたちが多くの時間を費やした。

では、この修正費用は誰が支払ったのか。直接的には誰も支払っていない。パッチをレビューし、テストし、そして取り込んだメンテナーたちは無償で働いていたのだ。ドイツのSovereign Tech Fundが2024年から2025年にかけてFFmpegに157,580ユーロを提供したが、これはFFmpegにとって初めての政府による支援だった。しかし、この金額はEU圏の一人のシニアエンジニアの年俸にほぼ相当する額であり、何十億人もの人々の動画処理を担う巨大なコードベースを維持するにはあまりにも少なかった。一方、以前Microsoftが長期サポート契約を打診された際の返答は、わずか数千ドルの単発支払いだったという。

なぜこのような資金提供モデルが問題を可能にしたのだろうか。FFmpegは少数のボランティアによって、週末や限られた時間、そしてカフェインを頼りに維持されている。プロジェクト自身が、その最大手の企業ユーザーを「何兆ドルもの企業」と表現し、2025年11月には、この利用者と開発者の間の不均衡が公になった。

例えば、GoogleのAIを活用したセキュリティツールが、FFmpegに対して自動的に脆弱性報告を大量に送りつけるようになった。メンテナーたちはこれを「CVE slop（カス）」と呼んだ。これは、重要度の低い問題も、致命的な欠陥と同じ緊急度で扱われ、それぞれが無給の人間のトリアージ時間（問題の優先順位付けと調査）を要求する、という絶え間ない報告の波だった。

元Amazonのエンジニアはこう語っている。「Amazonにいた時、毎年およそ一週間はFFmpegに迷惑をかけないようにすることに費やした。私はいつも『彼らはベンダーではない、NDA（秘密保持契約）はない、私たちには何も強制できない、VP（副社長）は彼らに資金援助することを拒否した、そして彼らは我々を殺す可能性がある…』という言葉から会話を始めなければならなかった」と。

この構造的な問題は、企業ユーザーがFFmpegを「ベンダー」として扱い、サービス品質保証（SLA）、セキュリティパッチ、迅速な対応を求める一方で、それらの費用を一切支払おうとしない点にある。2024年に発覚したXZ Utilsのバックドア事件（CVE-2024-3094）は、一人の疲弊したメンテナーが攻撃の標的になり得ることを証明した。FFmpegも、多くの人が認識している以上に、その危険な瀬戸際に立たされているのだ。

2026年には、Depthfirst社のAIエージェントが、FFmpegのこれまで知られていなかった21の脆弱性を自律的に発見し、Anthropic社のMythos Previewは16年前のH.264のバグを特定した。AIによる脆弱性発見の速度は、無償で働くメンテナーたちがそれらを評価し、対応する能力を上回っている。

このような現状の放置がどれほどのコストを生むのか。FFmpegの政府からの総資金提供額（2024〜2025年）は157,580ユーロであるのに対し、EU圏のシニアC/アセンブリエンジニア一人分の年間推定費用は80,000〜120,000ユーロだ。2026年だけでもFFmpegに割り当てられたCVEは10件を超え、libavcodecをリンクする下流プロジェクトは数百、PixelSmashによって直接影響を受けたプラットフォームはChrome、VLC、AWS Elemental、Jellyfin、Kodi、Plex、組み込みデバイスなど多岐にわたる。Microsoftからの「サポート」は、数千ドルの単発支払いだけだった。FFmpeg 9.0のリリースサイクルは14ヶ月にわたり、2,300以上のコミットと180人の貢献者によって支えられている。

計算は単純だ。15万7千ユーロでは、一人のフルタイムメンテナーすら賄えない。ましてや、30年間動いているコードベースを維持するためのトリアージ、セキュリティレビュー、継続的インテグレーション（CI）インフラ、そしてドキュメンテーションにかかる費用を全てカバーできるはずがない。メンテナーたちが燃え尽きてしまえば、次のPixelSmashのような重大な脆弱性は、一週間ではなく、四半期かかるか、あるいは永久にパッチが適用されない可能性もある。そして、XZバックドア事件が示したように、維持されず、疲弊したプロジェクトは、単なるリスクではなく、攻撃の標的となるのだ。

では、今日から私たちに何ができるだろうか。

一つ目は、メンテナーを支援することだ。FFmpegは伝統的なGitHub Sponsorsを利用していないが、Sovereign Tech Fundのモデルが示すように、組織的な資金提供は効果的である。もしあなたがFFmpegに依存している企業に勤めているなら、社内でスポンサー予算を確保するよう働きかけよう。例えば、5つの中規模企業から月500ユーロずつの寄付があれば、パートタイムのセキュリティレビュー担当者を雇う費用を賄える。CTOに手紙を書いてみよう。「当社はFFmpegを本番環境で使用しています。これがCVEの履歴です。これを維持するために何が必要か、ご説明します」と。

二つ目は、単なる報告だけでなく、トリアージに貢献することだ。不足しているリソースはバグの発見ではなく、それを評価し、再現し、優先順位をつけ、修正するために必要な人間の注意だ。もしバグを報告するなら、再現手順、影響範囲の評価、そして可能であれば提案パッチを含めよう。メンテナーが数時間ではなく数分で対応できるような報告は、彼らにとって貴重な贈り物となる。

三つ目は、社内で提唱することだ。もしあなたがエンジニアリングマネージャーやCTOであれば、FFmpeg（そして他の重要な依存関係）をあなたのソフトウェア部品表（SBOM）とリスクレジスターに加えよう。それらを単なる無料のユーティリティではなく、重要なインフラとして扱うのだ。OpenSSFのエンタープライズコミットメントは、まさにこの目的のために存在する。「我々はFFmpegに依存している。資金が不足している。PixelSmashの件がそうだ。同じSLA（サービス品質保証）をベンダーに求めるなら、これだけの費用がかかるだろう」という、リーダーシップ層への簡潔なメモは、今年あなたがする最も安価なセキュリティ投資となるだろう。

FFmpegはまだ停止していない。しかし、インターネットのために果たしている役割と、その見返りとして受け取っているものとの間のギャップは、現代のソフトウェアにおいて最も過小評価されている依存関係の一つである。次のCVEは、資金調達ラウンドの完了を待ってはくれないだろう。