PC版『METAL GEAR ONLINE 3』に深刻な脆弱性｜ロビー参加だけで任意コード実行の恐れ、1.1.2.9で修正済み
本記事にはアフィリエイト広告（Amazon・楽天市場等）のリンクが含まれています。
ロビー参加だけで任意コード実行の恐れ、1.1.2.9で修正済み
mgsvmgo.exeのバージョン1.1.2.8で、悪意のあるロビーに参加しただけで任意のコードを実行される恐れがありましたが、修正版の1.1.2.9はすでに配布済みです。出典：CERT/CC「VU#728712」、NVD「CVE-2026-19874」にもとづきます。本記事の情報は2026年8月25日時点のものです。
PC版『METAL GEAR SOLID V: THE PHANTOM PAIN』のオンライン対戦モード「METAL GEAR ONLINE 3」で、悪意のあるロビーに参加しただけでPCが乗っ取られかねない脆弱性が見つかっていたことが分かりました。対象になっていたのは実行ファイルmgsvmgo.exeのバージョン1.1.2.8で、修正版の1.1.2.9はすでに配布されています。
CERT/CCは2026年8月24日、この問題を脆弱性ノートVU#728712として公開しました。共通脆弱性識別子はCVE-2026-19874です。原因は、ロビーの参加者除外情報を処理する部分で、除外人数を示すkick_numの値をバッファのサイズに対して検証していなかったことにあります。想定より大きい値を送り込まれると隣接するメモリが上書きされ、コールバック処理を乗っ取られて任意のコードを実行される恐れがありました。
本記事では、CERT/CCとNVDの一次情報にもとづき、この脆弱性が深刻度Critical(CVSS 9.1)とされている評価の出どころ、修正版1.1.2.9で何が変わったのか、そして今アップデート済みであれば実際どこまで心配すればよいのかを整理します。
目次
要点まず何が起きたか
原因kick_numの検証不備が発端に
CERT/CCの脆弱性ノートによると、METAL GEAR ONLINE 3はSteam Matchmakingを使って8対8のオンライン対戦を成立させています。ロビーには参加者を除外する機能があり、除外対象の人数を示すkick_numというフィールドと、除外されたプレイヤーのSteam IDを格納するkicked_id_%iという一連のフィールドをやり取りします。クライアント側は、この情報を受け取った際に自分のSteam IDが除外リストに含まれていないかを確認する仕組みです。
問題は、ロビーデータを解析する処理が、kick_numの値を除外プレイヤーID用に確保された固定長バッファのサイズに対して検証していなかった点にあります。想定より大きいkick_numを送り込まれると、バッファの直後にある領域までデータが書き込まれてしまいます。CERT/CCによると、この直後の領域にはロビーの更新やメッセージ処理を担うSteamworksのコールバックハンドラの構造体が置かれており、関数ポインタを含むこの構造体を書き換えられると、処理の流れを乗っ取られる恐れがあるということです。
CERT/CCは、この脆弱性が悪意あるロビーに参加した時点で自動的に成立し、被害者側の追加操作を必要としないと説明しています。さらに、ロビーのホストが退出すると別の参加者へホスト権限が自動的に引き継がれる仕組みがあるため、一度ホストを乗っ取った攻撃者は、入れ替わり参加してくる複数のプレイヤーに対して同じ攻撃を仕掛けられる可能性があるとも指摘しています。
出典：CERT/CC「VU#728712」（2026年8月25日確認）
深刻度CVSS 9.1の評価元をどう読むか
通常のバッファオーバーフローは、書き換えられるメモリの内容次第で被害の範囲が変わります。今回とくに深刻度が高く評価された理由についてCERT/CCは、METAL GEAR ONLINE 3の実行ファイルに、Denuvo保護のために読み取り・書き込み・実行(RWX)の権限を持たせたメモリ領域が含まれている点を挙げています。通常はコードを実行できる領域とデータを書き込める領域が分かれていますが、RWX権限を持つ領域があると、攻撃者はコールバックの乗っ取りを足がかりに、自分で用意したコードをその場で書き込んで実行させることができてしまいます。つまり今回の問題は、単なるチートやゲームのクラッシュにとどまらず、ゲームの外側にあるPC環境そのものに影響しうる任意コード実行(RCE)だったという点が、一般的なゲームの不具合と異なります。
NVDに登録されたCVE-2026-19874のページには、CVSSバージョン3.1のベーススコアとして9.1(深刻度Critical)という数値が掲載されています。ただし、このスコアを算出したのはNVD自身ではなく、CISAの分析部門であるCISA-ADP(CISA Coordinator)です。NVD自身のCVSS評価は、本記事の情報を確認した時点でまだ提供されていません。「CVSS 9.1」という数字だけが独り歩きしがちですが、正確には「NVD掲載情報ではCISA-ADPが9.1・Criticalと評価しており、NVD自身の評価は未付与」という位置づけです。
NVDに記録されているSSVC(Stakeholder-Specific Vulnerability Categorization)情報では、この脆弱性の悪用状況(Exploitation)は「none」とされています。公開情報の範囲では、実際に悪用された事例が確認されているわけではありません。
出典：NVD「CVE-2026-19874」（2026年8月25日確認）
対応修正版1.1.2.9で解消済み
CERT/CCによると、Konamiはこの脆弱性だけを対象にした専用のパッチノートやセキュリティ勧告を出していません。ただし、修正自体はMETAL GEAR ONLINE 3の実行ファイルmgsvmgo.exeのバージョン1.1.2.9にすでに含まれています。あわせてサーバーバージョンが15から16へ、ロビーバージョンが150から160へ引き上げられており、この結果、脆弱性が残る旧バージョンのクライアントは新しいオンラインサービスに接続できない仕組みになっています。
Konamiは2026年7月15日付でこの問題の通知を受けており、CERT/CCが8月24日に情報を公開した時点でも、ベンダーからの正式な声明は確認されていません。修正版の配布自体は先行して行われていたとみられますが、公式な告知の形では説明されていない状態です。
出典：CERT/CC「VU#728712」（2026年8月25日確認）
確認今の状態で心配すべきかどうか
気になるのは、普段どおりSteamでゲームを更新している場合にも心配すべきかという点です。CERT/CCの記載内容から整理すると、次のように分けて考えられます。
- Steamをオンライン状態で起動し、ゲームの自動アップデートを有効にしている
- 直近でMETAL GEAR SOLID Vを起動しており、すでにバージョン1.1.2.9まで進んでいる
- 今後もSteam経由の正規の手順でオンラインロビーに参加する
- しばらくSteamを起動しておらず、オフラインモードのまま放置していた
- MGSVをインストールした状態で長期間ゲームを起動していない
- 正規のSteamクライアントを経由しない非公式の実行方法でゲームを起動している
CERT/CCのノートが説明している攻撃条件は、攻撃者がホストするオンラインロビーにクライアントが参加する場面に限られています。オフラインでのプレイに関する安全性について、CERT/CCやNVDが新たに言及している情報はありません。
結論として、Steamを通常のオンライン状態で使い、ゲームを最新版へ更新できている場合は、今回の脆弱性を理由に過度に心配する必要は低いといえます。サーバー側・ロビー側のバージョンが引き上げられ、旧バージョンからは新しいオンラインサービスへそもそも接続できない設計になっているためです。
手順アップデート状況を確認する方法
自分の環境が更新済みかどうかは、Steamクライアントから次の手順で確認できます。
Q&Aよくある質問
総括まとめ｜更新済みなら過度に心配する必要はない
CVE-2026-19874は、PC版『METAL GEAR SOLID V: THE PHANTOM PAIN』のオンライン対戦モード「METAL GEAR ONLINE 3」バージョン1.1.2.8に見つかったヒープベースのバッファオーバーフローです。ロビーのkick_numフィールドの検証不備を突かれると、隣接するSteamworksのコールバック構造体が破壊され、Denuvo保護領域のRWXメモリと組み合わさることで任意コード実行につながる恐れがありました。悪意あるロビーに参加するだけで自動的に成立し、被害者側の追加操作は必要ありません。
NVD掲載情報ではCISA-ADPがCVSS 3.1で9.1(Critical)と評価していますが、NVD自身の評価はまだ付与されていません。修正版の1.1.2.9ではサーバーバージョンとロビーバージョンが引き上げられ、脆弱性が残る旧バージョンからは新しいオンラインサービスへ接続できなくなっています。Steamを通常のオンライン状態で使い、すでに最新版へ更新できているのであれば、今回の脆弱性を理由に過度に心配する必要は低い状況です。
PC版『METAL GEAR SOLID V: THE PHANTOM PAIN』の「METAL GEAR ONLINE 3」(バージョン1.1.2.8)に、悪意のあるロビーへの参加だけで任意コード実行につながりうる脆弱性CVE-2026-19874が見つかっていました。NVD掲載情報ではCISA-ADPがCVSS 9.1(Critical)と評価していますが、NVD自身の評価は未付与です。修正版の1.1.2.9はすでに配布済みで、旧バージョンのサーバー・ロビーには接続できない設計になっています。Steamをオンライン状態にして最新版へ更新できているか、ライブラリのプロパティから確認しておきましょう。
あわせて読みたい
※価格は2026年8月時点の目安・変動あり
※価格は2026年8月時点の目安・変動あり
