Actual Budget macOS版、Electron経由で任意コード実行の脆弱性

要約

家計管理アプリ「Actual」のmacOS版（バージョン25.x、Electron 39.2.7）で脆弱性CVE-2026-42890が確認された。ELECTRON_RUN_AS_NODE fusesが有効なため、攻撃者はActual.appのバイナリを悪用して任意のNode.jsコードを実行できる。実行されたコードはActualのコード署名と権限を継承するため、macOS Gatekeeperによる検証を回避できる。ネットワークやキーチェーンなどのエンタイトルメントにもアクセス可能であり、Actual導入済みのMacが影響を受ける。