Jellyfinはバージョン12.0をリリースし、不正なファイルアクセスのリスク、クロスサイトスクリプティング（XSS）の脆弱性、安全でないプラグインパッケージの取り扱い、そして設定ミスのあるサーバーにおけるセットアップウィザードの露出といった問題に対処する複数のセキュリティ修正を導入しました。
2026年9月7日に公開されたこのオープンソースメディアサーバーのメジャーアップデートでは、大規模なデータベースマイグレーション、パフォーマンスの改善、書籍・コミックのサポート、API変更、そして新しいデフォルトのModern Webレイアウトも提供されています。
今回のリリースでは、細工されたリクエストによってJellyfinが本来公開する意図のないディレクトリ外のファイルにアクセスできてしまう複数の脆弱性が修正されています。
パストラバーサル型の脆弱性は、自己ホスト型のメディアプラットフォームにとって特に深刻です。攻撃が成功すれば、設定データ、アプリケーションファイル、認証情報、あるいはホスト上に保存されている無関係なファイルまで露出しかねないためです。
Jellyfinはまた、Webクライアントに存在していたXSSの問題も修正しました。XSS脆弱性が悪用されると、攻撃者が制御するJavaScriptが他のユーザーのブラウザセッション上で実行される可能性があり、セッショントークンの漏えい、画面の改ざん、あるいは認証済みユーザーとしての不正操作につながるおそれがあります。
これらの修正により、Webブラウザ経由でJellyfinサーバーにアクセスする管理者やユーザーに影響するリスクが軽減されます。
そのほかのセキュリティ強化策としては、設定が不適切なインスタンスにおいて未認証のままセットアップウィザードが再実行されるのを防ぐ対策、安全でない名前を使用するプラグインパッケージの拒否、そしてアプリケーションのより多くの箇所でペアレンタルコントロールの制限を強制する対応が含まれます。
Jellyfinプロジェクトは、セキュリティ更新が適用されていない旧バージョンにとどまるのではなく、準備が整い次第Jellyfin 12.0へ移行することを明確に推奨しています。
Jellyfin 12.0にはデータベーススキーマの変更が含まれており、初回起動プロセス中にデータの書き換えが積極的に行われます。管理者はアップグレードを開始する前に、サービスを停止し、データディレクトリと設定ディレクトリの両方について完全な手動バックアップを作成する必要があります。
サポートされているアップグレード経路は、Jellyfin 10.10.7または10.11.x系のリリースからのものです。10.10.7より古いバージョンを稼働している環境は、まず10.10.7にアップグレードしてから12.0をインストールする必要があります。
ユーザー名は大文字・小文字を区別しない仕様になりました。大文字・小文字の違いだけで区別されるアカウントを持つサーバーでは、データベースマイグレーションが失敗する可能性があるため、アップグレード前にそうした命名の衝突を解消しておく必要があります。
Jellyfinが代替メディアバージョンの保存方法を変更したため、インストール後には完全なライブラリスキャンが必要です。マイグレーション処理では自動的にグループ化されたバージョンがクリアされ、スキャン中にメディアファイルから再構築されます。
初回スキャンは通常よりも大幅に時間がかかる場合があり、サーバーが過去のライブラリ記録を修正する過程で、一部のコンテンツが新規追加されたように表示されることがあります。
Jellyfin 10.11向けにビルドされたサードパーティ製プラグインは、開発元が更新・再ビルドしない限り12.0では動作しません。Jellyfinは現在.NET 10をターゲットとしており、複数のプラグインインターフェースが変更されているため、開発者は統合部分の対象を変更する必要があります。
旧来の/emby/ルートと/mediabrowser/ルートは削除され、非推奨となっていた認可の仕組みはデフォルトで無効化されています。これらのエンドポイントや旧式の認証フローに依存している古いクライアントは動作しなくなる可能性があります。
管理者はアップグレード前にサードパーティ製プラグインを削除し、クライアントの互換性を確認したうえで、マイグレーションやスキャンを中断しないようにする必要があります。インターネットに公開されている環境では、特に組み込みのTLSを一時的に有効なままにしている場合、リバースプロキシの利用も推奨されます。
セキュリティ面以外にも、Jellyfin 12.0ではプレイリストとコレクションの保存方式が再構築され、大規模ライブラリにおけるデータベース効率が向上しています。
さらに、エピソードの代替バージョンサポート、書籍・コミック向けのネイティブメタデータ機能、検索の拡張性向上、FFmpeg 8.1のサポート、そしてトランスコードと字幕機能の拡充も追加されています。
今回のアップデートは、プラットフォームにとって大きな転換点となるものです。管理者にとって優先すべき手順は明確です。まずバックアップを取得し、ユーザー名とプラグインを確認したうえで、必須のアップグレード後スキャンを完了させ、不要な遅延なくセキュリティ修正を適用してください。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/jellyfin-12-0-fixes-security-flaws/
