この記事でわかること
- VeraCrypt 1.26.30で修正された主なセキュリティ問題と、対象になるOS
- 1.26.29で報告されたWindows版ドライバーの不安定化への対処内容
- Windowsでシステムドライブを暗号化している人が、大型アップデートの前に気をつけること
VeraCrypt 1.26.30が公開、Windows・Mac・Linuxで脆弱性を修正
ディスク暗号化ツール「VeraCrypt」の最新版1.26.30が、2026年10月24日に公開されました。前回の1.26.29（6月12日公開）から約4か月ぶりの更新で、Windows、macOS、Linux、FreeBSDの各版にセキュリティ修正が入っています。
Windows版では、1.26.29で報告されていたドライバーの不安定な動作にも対処しました。どのOSで使っていても、早めに更新しておきたいリリースです。
Windows版：権限昇格につながる脆弱性とドライバーの問題を修正
Windows版で影響が大きいのは、システム暗号化の関連ファイルに関する脆弱性です。システム暗号化を支えるファイルの保護が不十分で、条件を満たすWindowsの機能更新（大型アップデート）の最中に、ローカルで権限を昇格される恐れがありました。復元時にBIOS用のローダーを改ざんされる可能性もあったとしています。
1.26.30では、セットアップ用スクリプトやドライバーパッケージ、復旧用バックアップを保護し、信頼できない古いバックアップやドライバーの読み込み元を受け付けないよう変更されました。このほか、限られた範囲のディスクのメタデータがローカルで漏れる問題も修正されています。
ドライバーについては、1.26.29で報告された安定性の低下（リグレッション）を修正。I/O完了の処理を以前の方式に戻し、1.26.29で導入した「順序付きフラッシュバリア」を初期状態で無効にしたうえで、マウント・アンマウント時の後始末も改善しています。1.26.29に上げてからドライブの動作が不安定だった人は、まず1.26.30へ更新して様子を見る価値があります。
Secure Bootが有効な環境で互換性のないEFIブートローダーがインストールされるのを防ぐ変更も入りました。ブートローダーの証明書が変わったあとは、レスキューディスクの作り直しを促す警告が表示されます。
Mac・Linux版：特権サービスやインストーラーの脆弱性を修正
Linux、macOS、BSD系では、管理者権限で動くサービス（特権サービス）がリクエストを処理する部分に、ヒープバッファオーバーフローや範囲外読み取り、過剰なメモリ確保を招く問題がありました。今回の更新で修正されています。
LinuxとFreeBSDの汎用インストーラーには、別のローカルユーザーが同梱パッケージを差し替えてroot権限を得られる脆弱性がありました。ディストリビューション向けのパッケージとAppImage版は影響を受けません。
macOSでFUSE-T版を使っている場合は、アンマウントしたあとも復号済みのボリュームにアクセスできる状態が残る問題が直りました。1.26.29から更新するときは、ボリュームをすべてアンマウントし、macOSを再起動してから新しいバージョンを使ってください。アプリを置き換えるだけでは、すでに動いているサービスが終了しないためです。macFUSE 5.3.3以降でマウント・アンマウント時にクラッシュする問題も修正されています。
Windowsのシステム暗号化を使っている人の注意点
システムドライブを暗号化している場合は、更新のタイミングが重要です。開発元は、Windowsの機能更新を準備する前に1.26.30をインストールし、Windows Update対応や元のローダーのバックアップに関する警告が出ていれば解消するよう案内しています。
やっかいなのは、Windowsセットアップがすでに関連ファイルを準備している場合です。VeraCryptを更新しても、準備済みのスクリプトは置き換わりません。このときは機能更新の準備をやり直し、更新後のファイルが使われるようにする必要があります。
既存の復旧用バックアップと、信頼できるVeraCryptのレスキューディスクは残しておいてください。古いバックアップの所有者やアクセス権を変えても、中身が安全だという証明にはならないと開発元は注意しています。
1.26.30から古いバージョンへ戻す予定がある場合は、事前にお気に入りボリュームの設定ファイルをバックアップしておきましょう。古いバージョンではラベルにXMLのエスケープ文字が表示され、その状態で保存されてしまうことがあります。
入手方法
1.26.30はGitHubのリリースページから入手できます。Windows版はインストーラー、MSIインストーラー（x64／ARM64）、ポータブル版を用意。各ファイルにはGPG署名が付いており、チェックサムも公開されています。
