Lenovo製タブレットの起動検証に問題、更新とサポート期限を確認

JVNは2026年10月20日、複数のLenovo製タブレットで、起動時の検証に公開済みのテスト用鍵が使われている問題を公表しました。情シスは保有端末の対象確認に加え、更新できる端末と、サポート終了により修正を受けられない端末を分けて対応する必要があります。

起動検証の問題、悪用には端末への物理的アクセス

問題があるのは、Androidの起動時にシステムを検証するAndroid Verified Boot(AVB)です。JVNによると、複数のLenovo製タブレットで、AndroidのオープンソースプロジェクトであるAOSPが公開しているテスト用鍵が、そのまま使われています。

脆弱性の識別番号はCVE-2026-92777です。「脆弱な認証情報の使用」に分類され、深刻度の指標であるCVSSの基本値は、v4.0で7.0、v3.0で6.6とされています。

JVNは、端末に物理的にアクセスされると、細工したシステムイメージを導入される恐れがあると説明しています。システムイメージとは、端末の基本ソフトなどをまとめたデータです。社内での対応では、点数だけで優先順位を決めず、対象端末を誰が持ち、どこに保管しているかも確認したいところです。

今回の資料には、実際の悪用や情報漏えいの発生を示す記載はありません。脆弱性の公表と、自社で被害が起きているかどうかは分けて扱う必要があります。

サポート終了端末は更新だけでは解決しない

JVNは、開発者の情報に基づき最新版へ更新するよう呼びかけています。一方、Lenovoはサポート終了済み製品には修正を提供しないとしています。JVNも、こうした製品は後続製品への乗り換えなどを検討するよう促しています。

このため、更新を依頼して終わりにせず、対象端末ごとにサポート状況を確認することが重要です。修正を受けられない端末は、更新作業の一覧とは別に、置き換えを判断する一覧へ分けると対応を進めやすくなります。

提供された資料には、対象となる具体的な型番、修正版の番号、日本向けモデルごとの対象状況は書かれていません。Lenovo製という理由だけで全台が対象と判断したり、最新版という表示だけで修正済みと判断したりせず、開発者情報との照合が必要です。

影響する会社・しない会社

• 影響する: 今回の問題に該当するLenovo製タブレットを業務で使っている会社です。ただし、対象型番の一覧は提供資料には書かれていないため、保有機種との照合が必要です。
• 影響する: 対象製品のうち、サポート終了済みの端末を使っている会社です。修正が提供されないため、後続製品への乗り換えなどの判断が必要になります。
• 影響しない: 対象製品を保有・利用していないことを確認できた会社です。対象外の具体的な機種や版は提供資料には書かれていないため、現時点で型番だけを挙げて対象外とは断定できません。

情シスが今日やること

1. 端末台帳から保有機種を抽出します。 Lenovo製タブレットについて、型番、利用部署、利用者、現在のソフトウェアの版を確認してください。端末管理ツールを使っている場合は、その端末一覧と台帳を照合し、貸出中の端末も確認対象に含めます。
2. 開発者情報と照合します。 JVNのCVE-2026-92777に関する情報を起点に、対象機種、更新方法、サポート状況を確認します。確認できない機種は「対象外」ではなく「未確認」として残してください。
3. 更新担当者と利用部署へ作業を依頼します。 更新可能な対象端末は、開発者が案内する最新版への更新を手配します。更新後の版と実施日を台帳に記録し、未実施端末を追えるようにします。資料に一律の対応期限はないため、社内の実施期限と担当者を決めて共有してください。
4. サポート終了端末は調達担当へ引き継ぎます。 修正が提供されないことを利用部署と調達担当に知らせ、後続製品への乗り換えなどを検討します。判断までの間も、端末の保管場所、貸出先、返却状況を確認し、所在不明のままにしない運用を整えてください。