Ghostty 1.4がリリース、複数の脆弱性を修正
原題: Ghostty 1.4
なぜ重要か
ターミナルへの悪意ある出力だけでコード実行に至る脆弱性が複数あり、開発者が日常的に使うツールのセキュリティリスクとして業界全体に示唆を与える。
ターミナルエミュレータGhosttyは2026年10月27日にバージョン1.4.0をリリースした。172名のコントリビューターによる2,889コミット・7ヶ月分の開発成果を収録。Kitty graphicsの100%実装や大幅なパフォーマンス・メモリ改善のほか、ペースト保護の不備やファイル読み取りリスクを含む10件のセキュリティ脆弱性を修正した。
Ghostty 1.4.0は、OSSのターミナルエミュレータGhosttyの最新メジャーリリースだ。172名のコントリビューターが約7ヶ月をかけて2,889コミットを積み上げた。
機能面では、Kitty graphics protocolの実装がアニメーションや相対配置を含めて100%完成した。公式以外のターミナルでここまで完全な実装を達成したのはGhosttyが初めてとされる。加えて、SSH統合の改善と大幅なパフォーマンス・メモリ効率の向上が盛り込まれた。
今回特筆すべきはセキュリティ修正の多さだ。合計10件の脆弱性が公開されている。
主なものを挙げると、まず「GHSA-4hwh-wx3w-3fqg」はペースト保護がキャリッジリターンを行末と認識しなかった問題で、bracketed pasteを使わないプログラムでコマンドが無確認実行されるリスクがあった。「GHSA-mhff-mv4q-fp63」は悪意あるKitty graphicsコマンドによりGhosttyがクラッシュ・ハングしたり、巨大メモリを強制確保したり、許可された一時ディレクトリ外のファイルを読み書きされるもので、悪意ある出力を表示するだけでトリガーされる。
「GHSA-hcr9-7hcr-mjm8」と「GHSA-hp9c-qp4q-cpw3」はGhostty 1.3.0・1.3.1に影響するもので、tmuxコントロールモードを通じた悪意ある端末出力によりGhosttyがクラッシュし、全ウィンドウが閉じる問題だ。tmux自体がインストールされていなくても影響を受ける。
macOS固有の脆弱性も4件含まれており、OSC 8ハイパーリンクのCmd-clickや、ドラッグ&ドロップによるペースト保護のバイパスなど、任意コマンド実行につながる問題が修正された。
CVE番号については、GitHubへの申請から数週間が経過しているが未割り当てのため、付与され次第リリースノートに追記するとのことだ。