サーバーのセキュリティアップデートを点検する

SetFNのアップデートには、SetFNサーバープログラムとそれに含まれるライブラリのセキュリティ修正が含まれます。SetFNが動作するOSと、SetFNが文書のプレビュー・変換・文字認識（OCR）に呼び出す外部プログラムは、サーバー運用者が自分でアップデートする必要があります。

このドキュメントでは、KISA（韓国インターネット振興院）のセキュリティ通知と主要な脆弱性（CVE）の点検結果をもとに、運用者が確認する項目とコマンドを案内します。例はUbuntu 24.04 LTSを基準にしています。

始める前に

サーバーにsudo権限のあるアカウントで接続する必要があります。
カーネルがアップデートされた場合は、サーバーを再起動しないと適用されません。ユーザーの少ない時間帯に作業してください。

OSパッケージをアップデートする

ターミナルでパッケージ一覧を更新し、セキュリティアップデートをインストールします。
```
sudo apt update
sudo apt upgrade
```
再起動が必要かを確認します。ファイルがあれば再起動が必要です。
```
ls /var/run/reboot-required
```
再起動したあと、SetFNが正常に動作しているかを確認します。

次のコンポーネントは、2025年以降にKISAがセキュリティアップデートを勧告した項目です。上記のコマンドであわせてアップデートされます。

コンポーネント	確認コマンド	アップデートが必要な理由
Linuxカーネル	`uname -r`	権限昇格、メモリ破損の脆弱性が複数回通知されています。
sudo	`sudo --version`	ローカルユーザーが管理者権限を取得できる脆弱性（CVE-2025-32463）があります。
OpenSSL	`openssl version`	LibreOfficeなどの外部プログラムが使用する暗号化ライブラリの脆弱性が通知されています。
snapd	`snap version`	権限昇格の脆弱性が通知されています。

文書処理プログラムを確認する

SetFNは、ユーザーがアップロードしたファイルのプレビュー、変換、文字認識に次のプログラムを使用します。これらのプログラムは外部から受け取ったファイルを直接読み取るため、セキュリティアップデートを先送りしないでください。

プログラム	確認コマンド	用途
libvips	`vips --version`	画像のプレビューと形式変換
LibreOffice	`libreoffice --version`	オフィス文書のプレビューとPDF変換
Poppler	`pdftoppm -v`	PDFのテキスト抽出とページの画像変換
MuPDF	`mutool -v`	PDFページの画像変換の補助（インストールしないことを推奨）
Tesseract	`tesseract --version`	文字認識（OCR）
Pandoc	`pandoc --version`	文書形式の変換
FFmpeg	`ffmpeg -version`	動画のサムネイル

Ubuntu Proでuniverseパッケージのセキュリティ修正を受け取る

Ubuntu 24.04では、LibreOffice、Poppler、libheifはmainリポジトリのパッケージのため、sudo apt upgradeでセキュリティ修正がインストールされます。libvips、Tesseract、MuPDF、Pandoc、ImageMagick、FFmpegはuniverseリポジトリのパッケージです。2025年以降に公開されたこれらのパッケージの深刻度High以上の脆弱性の修正は、Ubuntu Proのesm-appsでのみ提供されています。

これらのプログラムを使用する場合は、サーバーをUbuntu Proに接続します。

Ubuntu Proでトークンを発行します。

サーバーで次のコマンドを実行します。

sudo pro attach <トークン>
sudo pro enable esm-apps
sudo apt update
sudo apt upgrade

pro statusでesm-appsがenabledと表示されるかを確認します。

不要な文書処理プログラムを減らす

MuPDF（mupdf-tools）：Poppler（poppler-utils）がインストールされていれば、SetFNはMuPDFを使用しません。MuPDFにはUbuntu 24.04でまだ修正されていない脆弱性（CVE-2026-3308）があるため、インストールしないことをおすすめします。すでにインストールしている場合は、sudo apt remove mupdf-toolsで削除できます。
ImageMagick、FFmpeg：インストールされていない場合、SetFNは該当する変換と動画のサムネイル機能だけを使用しません。使用しないのであればインストールしません。
FFmpeg 8.x：自分でビルドした場合や別のリポジトリからインストールした場合は、8.0.3または8.1.2以上にアップデートします（CVE-2026-8461）。

LibreOfficeのJavaの使用

LibreOfficeには、文書内の外部データ接続がリモートのJavaドライバーを読み込む可能性のある脆弱性（CVE-2026-63277）が通知されており、Ubuntu 24.04のパッケージにはまだ修正が反映されていません（2026-10-23確認）。SetFNは文書を変換するたびに新しいLibreOfficeのプロファイルを作成し、このプロファイルでマクロと外部リンクの更新を無効にします。2026-10-23の点検で修正した次のアップデートからは、同じプロファイルでJavaの使用も無効にします。ほかの用途でJavaが必要なければ、サーバーからJavaランタイムを削除してリスクをさらに減らせます。

Dockerで運用している場合に確認する

DockerでSetFNを運用している場合は、次のバージョン以上かを確認します。

コンポーネント	確認コマンド	推奨バージョン
Docker Engine	`docker version`	29.3.1以上（CVE-2026-34040）
Docker Compose	`docker compose version`	2.40.2以上（CVE-2025-62725）
Docker Desktop	Docker Desktopの`About`画面	4.44.3以上（CVE-2025-9074）

リバースプロキシを使用している場合に確認する

SetFNの前にnginxなどのリバースプロキシを置いてHTTPSを処理している場合は、リバースプロキシもセキュリティアップデートの対象です。

nginxオープンソース版は1.30.4または1.31.3以上を推奨します。ディストリビューションのパッケージには、ディストリビューションのセキュリティアップデートで修正が反映されます。
HTTP/2を有効にしたWebサーバーに過剰なメモリを使わせる攻撃（CVE-2026-49975）が通知されています。使用しているWebサーバーの修正版を適用します。
公的な証明書でHTTPSを運用している場合は、リバースプロキシでHSTS（Strict-Transport-Security）ヘッダーを有効にします。SetFNサーバーは、自己署名証明書を使う社内ネットワークでのインストールで接続がブロックされないように、HSTSを自分では送信しません。

ローカルAI（Ollama）を使用している場合に確認する

SetFNと同じサーバーでOllamaを使ってローカルAIモデルを実行している場合は、次を確認します。

ollama --versionでバージョンを確認し、0.17.1以上にアップデートします（CVE-2026-7482）。
Ollama APIが外部に開放されていないかを確認します。SetFNと同じサーバーだけで使う場合は、OLLAMA_HOSTを0.0.0.0に設定しません。
別のサーバーからOllamaに接続する必要がある場合は、ファイアウォールでSetFNサーバーのアドレスだけを許可します。

SetFNが直接影響を受けるセキュリティ上の問題は、SetFNのアップデートで修正されます。SetFNも最新バージョンを維持してください。
各通知のSetFNへの該当の有無と点検状況は、主要な脆弱性の点検状況で確認できます。
管理者ページへのアクセスを特定のIPに制限すると、外部からの攻撃のリスクをさらに減らせます。IPアクセス制限を参照してください。