【ITニュース解説】Two Critical Flaws Uncovered in Wondershare RepairIt Exposing User Data and AI Models

「Wondershare RepairIt」というデータ修復ソフトウェアに、重大なセキュリティ上の欠陥が二つ発見されたというニュースが報じられた。この問題は、ソフトウェアの利用者のプライベートなデータが外部に漏れる可能性があっただけでなく、さらに深刻な「AIモデルの改ざん」や、ソフトウェアの供給経路に悪意のあるコードが混入する「サプライチェーンリスク」といった、より広範囲な被害につながる危険性も指摘されている。

Wondershare RepairItは、破損して開けなくなった動画ファイル、写真、ドキュメントなどのデジタルデータを修復するために使われるツールだ。大切な思い出の写真が消えたり、仕事の重要な資料が壊れたりした際に、これらのファイルを元に戻す手助けをする。しかし、その便利さの裏側で、今回のようなソフトウェアの弱点、つまり「脆弱性」が存在すると、利用者は大きな危険にさらされてしまう。脆弱性とは、ソフトウェアやシステムに存在する設計上、あるいは実装上の欠陥のことで、これがあると悪意のある攻撃者がそれを悪用して不正な操作を行ったり、機密情報を盗み出したりすることが可能になる。

今回発見された二つの脆弱性の一つ、「CVE-2025-10643」は「認証バイパス」と呼ばれる種類のものだ。この脆弱性の深刻度を示す「CVSSスコア」は9.1とされており、これは極めて重大な危険性を持つことを意味する。認証バイパスとは、本来システムがユーザーの身元を確認するための「認証」プロセス、例えばログインIDとパスワードの入力といった手順を、不正な方法で回避して、システム内部の機能やデータにアクセスできてしまう状態を指す。通常は、鍵のかかったドアのように、正規の鍵（認証情報）がなければ入れないはずの場所に、鍵を使わずにこじ開けて侵入できてしまう状況に近いと言える。この認証バイパスの脆弱性を悪用されると、攻撃者は正規のユーザーであるかのようにシステム内で振る舞い、本来アクセスできないはずの利用者のプライベートなデータ、例えば修復対象となるファイルの内容や、ソフトウェアに登録された個人情報などを、盗み見たり、不正に操作したりする可能性が生じる。

この認証バイパスの脆弱性は、単にユーザーデータが漏れるだけでなく、二つのより広範で深刻な問題を引き起こす可能性も指摘されている。一つは「AIモデルの改ざん」だ。近年、多くのソフトウェアにAI（人工知能）の技術が組み込まれている。Wondershare RepairItのようなソフトウェアでも、破損したデータのパターンをAIが学習し、より効率的で精度の高い修復を試みるといった応用が考えられる。もし攻撃者がこの脆弱性を利用してシステムに侵入し、そのAIモデルの学習データや、AIが判断を下すためのロジックを不正に改ざんしてしまったらどうなるだろうか。AIが誤った学習をしてしまったり、意図的に間違った、あるいは悪意のある結果を出すように仕向けられたりする可能性がある。これにより、ソフトウェアの本来の機能が損なわれるだけでなく、ユーザーがAIの出す結果を信頼できなくなり、最終的には金銭的な損害やシステム全体の混乱を招くことにもなりかねない。

もう一つの懸念は「サプライチェーンリスク」である。ソフトウェアの開発から、テスト、配布、そしてユーザーの手元に届き、さらにその後の更新が行われるまでの一連の流れを「サプライチェーン」と呼ぶ。このサプライチェーンのどこかの段階で、悪意のある改ざんが行われるリスクがサプライチェーンリスクだ。例えば、攻撃者が認証バイパスの脆弱性を利用して、Wondershare RepairItの開発環境や更新サーバーに侵入し、正規の更新プログラムに見せかけて、マルウェア（悪意のあるソフトウェア）を仕込んだ不正なバージョンを配布する、といったシナリオが考えられる。もしこのような事態が発生すれば、ソフトウェアを更新したつもりのユーザーが、知らず知らずのうちに自分のコンピューターにマルウェアをインストールしてしまうことになり、被害は個々のユーザーだけでなく、広範なシステム全体に連鎖的に拡大する危険性がある。これは、企業や組織のシステムを停止させたり、甚大な経済的損失を引き起こしたりする可能性がある、極めて危険なシナリオだ。

これらの重大な脆弱性は、サイバーセキュリティの専門企業であるTrend Microの研究者によって発見された。専門家がシステムの隅々まで調査し、潜在的な危険を見つけ出すことで、実際に被害が発生する前に、多くのインシデントを防ぐことができる。このような脆弱性が発見され次第、ソフトウェアの開発元は速やかに修正プログラム（パッチ）を作成し、利用者に提供することが求められる。そして、ソフトウェアの利用者側も、更新通知があった際には、速やかに最新版にアップデートすることが非常に重要となる。これは、セキュリティの穴を塞ぎ、悪意のある攻撃から自身のデータやシステムを守るための最も基本的で効果的な対策の一つだ。

システムエンジニアを目指す皆さんにとって、今回のニュースは非常に重要な教訓を含んでいる。それは、ソフトウェアを開発する際には、単に便利な機能を実現するだけでなく、いかにしてその安全性を確保するかという「セキュリティ」の視点が極めて重要であるということだ。脆弱性はどんなソフトウェアにも潜在する可能性があるため、常にセキュリティに対する高い意識を持ち、ソフトウェアの設計段階からセキュリティを考慮し、厳密なテストを通じて弱点を発見し、速やかに修正していくプロセスが不可欠となる。また、利用者側も、どのようなソフトウェアを使うか、そのソフトウェアが信頼できるものであるか、そして常に最新の状態に保っているかなど、日々の利用におけるセキュリティ意識が、自身のデータとシステムを守る上で決定的な役割を果たすことを忘れてはならない。