動画配信基盤OvenMediaEngineのOVT中継で、認証なしに接続を占有し続けることで配信を妨害できる可能性が指摘された。CVE-2026-118689はHIGHと評価されるが、公開のCVSS値は未レビューのGitHub Advisoryによるもの。開発元は修正を含むOVT2変更の統合を報告した一方、正式な修正版のリリースは確認されていない。
30秒でわかる / THE SIGNAL
動画配信基盤OvenMediaEngineのOVT中継で、認証なしに接続を占有し続けることで配信を妨害できる可能性が指摘された。CVE-2026-118689はHIGHと評価されるが、公開のCVSS値は未レビューのGitHub Advisoryによるもの。開発元は修正を含むOVT2変更の統合を報告した一方、正式な修正版のリリースは確認されていない。
OVT中継に接続占有を引き起こす問題
OvenMediaEngineはライブ映像などを配信するためのオープンソースのメディアサーバーだ。配信のOriginサーバーからEdgeサーバーへ映像を中継するOVTプロトコルについて、異常なパケット長を受信した接続が切断されず、接続枠を占有し続ける問題がGitHubの開発元Issue #2330で報告された。
報告内容によれば、外部から認証せずにこの状態を複数の接続で生じさせると、OVT中継の可用性に影響する恐れがある。被害が起きたことを示す公開の実運用記録や攻撃件数は、今回確認した一次情報には含まれていない。
開発元は問題を把握し、OVT2の変更に含めて対応
Issue #2330で開発元のメンバーは、OVTを改修しており、OVT2に関する変更がこの問題への対応を含むと説明した。続く2026年10月12日の回答では、OVT2の変更はマージされたものの、品質確認を踏まえたリリース日程は未確定と明言している。
したがって、ソースコード上で変更が統合されたことと、利用者がインストールできる正式な修正版が提供されたことは区別すべきだ。独自ビルドや開発ブランチを利用している環境と、公式の配布版を利用している環境でも状況は異なり得る。
CVE-2026-118689のHIGH評価は未レビュー情報に由来
2026年10月29日に掲載されたGitHub Advisory DatabaseのGHSA-c237-3r77-c8g5には、CVE-2026-118689としてOVT中継のサービス拒否（DoS）が記録されている。深刻度HIGH、CVSS v4.0基本値8.7、影響するバージョンは0.21.0までとされる。
ただし当該アドバイザリーはGitHub上で未レビューであり、開発元がCVE番号やCVSS値を公式に確定したと扱うことはできない。問題の現象・開発元の認識についてはIssue #2330を、CVE採番とCVSS値については未レビューアドバイザリーを、根拠を分けて読む必要がある。
最新の公式リリースはv0.21.0、修正版の提供を引き続き確認
開発元のGitHub Releasesで確認できる公開の最新バージョンは、2026年8月13日に公開されたv0.21.0だった。開発元がOVT2の変更をマージしたという回答はあるが、今回確認した範囲では、この問題を解消したと確認できる新しい正式リリースは見つかっていない。
このため現時点で「特定の配布バージョンへ更新すれば解決する」と断定することは避けたい。運用者は公式リリースノートと関連Issueを継続して監視し、修正済みの配布版が公開された時点で更新計画を立てる必要がある。
WORK SIGNALの視点：配信継続性と公開済み修正を切り分ける
ライブ配信の可用性は、視聴体験だけでなくイベント運営や事業継続にも直接影響する。OVTのOrigin／Edge中継を利用する構成では、外部からOVTリスナーに到達できる範囲を点検し、不要な公開経路を制限する運用上の対策を検討したい。ネットワーク構成やファイアウォールの管理は、事前に接続要件と可用性を確認して進める必要がある。
今回の教訓は、脆弱性が報告された時刻、開発元が対処を認めた時刻、コード変更のマージ時刻、一般利用者向け修正版の公開時刻がそれぞれ違う点にある。修正版の有無を誤認すると、対処済みだと思ったまま脆弱な配布版を運用しかねない。公式の更新状況を確認し続けることが重要だ。