「UI-TARS-desktop」の脆弱性 CVE-2026-81735

CVE ID	CVE-2026-81735
対象製品	UI-TARS-desktop (bytedance)
影響バージョン	c2ad42e3eb9b27830db41a3e6f51ca7179d9b168 (unaffected) 0 〜 < c2ad42e3eb9b27830db41a3e6f51ca7179d9b168 (affected)
CVSS	10.0 / 10 (緊急) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CWE	CWE-306
公開日	2026年8月27日
更新日	2026年8月29日

CVE ID

CVE-2026-81735

対象製品

UI-TARS-desktop (bytedance)

影響バージョン

c2ad42e3eb9b27830db41a3e6f51ca7179d9b168 (unaffected)
0 〜 < c2ad42e3eb9b27830db41a3e6f51ca7179d9b168 (affected)

CVSS

10.0 / 10 (緊急)

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

CWE

CWE-306

公開日

2026年8月27日

更新日

2026年8月29日

どんな危険があるか

UI-TARS-desktopのmcp-http-serverパッケージにおいて、startServer.tsがデフォルトで全てのネットワークインターフェースにバインドされ、認証ミドルウェアがオプションであるため、認証なしでコマンド実行が可能な脆弱性です。攻撃者はポートに到達できれば、サーバーを実行しているユーザーとして任意のコマンドを実行したり、ファイルシステム上のファイルを読み書きしたりすることが可能になります。これにより、システムの完全な制御、機密データの漏洩、データ改ざんなどの深刻な影響が生じます。

今すぐやること

bytedance / UI-TARS-desktop の本脆弱性は、コミット c2ad42e3eb9b27830db41a3e6f51ca7179d9b168 で修正されました。バージョンではなくこのコミット以降のソースコードが適用されているか確認し、適用されていない場合は速やかに適用してください。外部からのアクセスを制限するためのネットワーク設定の見直しも検討してください。

本ページの情報は公開時点 (2026年8月30日) のものです。最新情報は上記の出典を確認してください。

本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。

脆弱性データの一部は採番機関 (CNA) 「VulnCheck」のアドバイザリを出典としています。データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。