Pythonで最も広く使われている画像処理ライブラリ「Pillow」に、重大な脆弱性（CVE-2026-112900）が見つかりました。細工されたファイル名を渡すだけで、サーバー上でOSのコマンドを実行されるおそれがあるというものです。これは「遠隔コード実行（RCE）」と呼ばれる、最も危険な種類の欠陥のひとつです。
問題があるのは、EPS形式（印刷や出版でよく使われる画像・図版の形式）の画像の扱いです。PillowはEPS画像を開く際、ファイルの名前を「Ghostscript」という別のソフトに渡して処理させます。このとき、ファイル名の中身が十分に安全確認されないため、特殊な文字列を含む名前を指定すると、本来の画像処理ではなく攻撃者が望むコマンドが動いてしまう可能性があります。
影響が大きいのは、利用者がアップロードした画像をPillowで処理するWebサービスや、ファイル名を外部から受け取って画像を開くアプリケーションです。画像のサムネイル作成、プロフィール画像の加工、文書の変換機能などで使われている例は少なくありません。自分のサイトやシステムでPythonの画像処理を使っている場合は、Pillowが組み込まれていないか確認しましょう。
対策としては、Pillowを修正済みの最新版へ更新するのが基本です。すぐに更新できない場合は、EPS形式の画像を受け付けない設定にする、外部から受け取ったファイル名をそのまま使わず安全な名前に置き換える、といった回避策が考えられます。個人でPythonのツールを使っているだけの方は、パッケージを最新の状態に保てば十分です。