Rubyの正規表現に関する重大な脆弱性の影響について

Ruby の正規表現に関する脆弱性について

いつも Tutter をご利用いただきありがとうございます。

2026年10月23日、Tutter の開発に使っているプログラミング言語「Ruby」の開発チームが、正規表現の処理に関する脆弱性の修正を発表しました。この記事では、問題の内容、Tutter への影響を調べた結果、今後の対応をお知らせします。

結論

今回の問題によって Tutter が影響を受けることはないと判断しています。 理由は「影響がないと判断した根拠」の項に書きました。皆さまに何か操作をしていただく必要はありません。

どのような問題か

Ruby には、文字列のパターンを探すための「正規表現」という機能があります。この機能の内部で、細工された正規表現を読み込ませるとメモリが壊れる不具合が見つかりました。GitLab 社がこの不具合を報告し、自社サービスで遠隔からプログラムを実行される恐れがあったとしています。

- 関連する脆弱性番号: CVE-2026-89078、CVE-2026-93577、CVE-2026-97229、CVE-2026-110264（GitLab 社が採番したもの）

- 修正された Ruby のバージョン: 3.4.12、4.0.9、3.3.13

Ruby 開発チームによると、この問題が起きるのは、外部から入力された文字列を、そのまま正規表現として読み込むプログラムに限られます。開発者があらかじめ書いた正規表現だけを使うプログラムは影響を受けません。

Tutter での使用状況

発表の時点で、Tutter は Ruby 3.4.11 を使っていました。今回の修正より前のバージョンです。

影響がないと判断した根拠

Tutter と、その管理用システムのプログラムを調べ、正規表現を作っている箇所をすべて確認しました。その結果、次のことがわかりました。

正規表現は、開発者があらかじめ決めた固定の内容から作られている外部の値を正規表現に組み込む箇所は数か所ありましたが、どれも「特別な記号を無効にする処理（エスケープ）」を通しており、値は正規表現の命令として解釈されず、ただの文字として扱われる皆さまが入力した内容（投稿、検索ワード、プロフィールなど）を、そのまま正規表現として読み込む処理は見つからなかった

これは、Ruby 開発チームが示した「影響を受ける条件」に当てはまりません。

今後の対応

影響はないと判断していますが、念のため、修正済みの Ruby 3.4.12 に更新します。