Dart / Flutterの脆弱性情報まとめ

2026年に公表されたもののうち、Dart SDK・Flutter SDKと、よく使われるpubのパッケージで確かめておきたいものです。米CISAのKEV（悪用が確認された脆弱性の一覧、10月30日版）には、Dart・Flutterを提供元とする項目はありません。ただし、描画ライブラリSkiaのCVE-2026-3909が3月13日に追加され、その説明に影響する製品としてFlutterが挙がっています。[1]

11月2日時点で上の集計に出ているDartの記録は、dio_http2_adapterの1件です。

DartとFlutterがセキュリティの更新を出すのは、最新の安定版だけです。重大な問題は、ベータ版か安定版の修正版で直します。[7][8] 11月2日時点の最新は、Dart 3.13.7（10月22日）と、それを含むFlutter 3.47.9（10月30日）です。[9][10]

Dartのサーバーやコマンドをdart compile exeで作った場合も、実行環境はバイナリに含まれます。eMudhraの件では、提供元はSDKを上げたうえで、Android・Windows・Linuxのアプリやバイナリを作り直して配るよう案内しています。[2]

pubは、GitHub Advisory Databaseに登録されたDart・Flutterのパッケージのアドバイザリを使い、依存を解決するときに表示します。[11] pubspec.lockの版を確かめ、対象のパッケージを上げます。

dart pub get
dart pub deps
dart pub outdated
dart pub upgrade dio_http2_adapter

Flutterのプロジェクトではdart pubをflutter pubに読み替えます。dart pub outdatedは、pubspec.yamlの範囲で上げられる版と最新の版を並べるコマンドで、アドバイザリの有無は表示しません。[12]

対象外と判断したアドバイザリは、pubspec.yamlのignored_advisoriesに番号を書くと警告を止められます。効くのは自分のパッケージ（ルート）の設定だけです。[11]

CIでは、OSV-Scannerでpubspec.lockを調べられます。[13] GitHubのDependabotも、pubのセキュリティ更新に対応しています。[14]

osv-scanner scan -L pubspec.lock

1. SDKの版をビルド環境で確かめる：CIの記録でflutter --version・dart --versionを見ます。SDKの版を固定している設定ファイルやDockerのイメージがあれば、そこも3.47.9・3.13.7に上げます。
2. 配ったアプリは作り直す：SDKの修正は、ビルドし直したアプリにしか入りません。eMudhraの件はAndroid・Windows・Linuxが対象で、iOS・macOS・WebはOSやブラウザの証明書の検証を使うため対象外です。[2]
3. 動いているサーバーの版：Dartのサーバーでは、dart:ioのPlatform.versionをログに出すと、動いている実行環境の版が分かります。
4. Linuxの証明書の一覧：Linuxで動かす場合、提供元はOSのca-certificatesを更新していない環境やコンテナが対象になると説明しています。SDKの更新と合わせて、イメージのca-certificatesも更新します。[2]
5. 間接的な依存：dart pub depsで、dio_http2_adapterやjoseをどの依存が引き込んでいるかを確かめ、pubspec.lockの差分を見ます。