JVNは2026年10月15日、国土交通省が提供する「車検証閲覧アプリ」の脆弱性情報を公開しました。Android版とiOS版のver.6.2.0およびそれ以前が対象で、API連携用の認証情報が漏えいする可能性があります。漏えいの可能性がある認証情報は無効化済みですが、利用企業ではアプリの更新と連携先の確認が必要です。
対象は両スマホ版、API連携の送信仕様に問題
車検証閲覧アプリには、車検証を扱う事業者へ車検証情報を提供するAPI連携機能があります。APIは、アプリやシステムの間で情報をやり取りする仕組みです。
今回の問題は、このAPI連携の仕様にあります。送信データに機微な情報が入り、連携に使うアクセスIDとアクセスキーが漏えいする可能性があるとJVNは説明しています。アクセスIDとアクセスキーは、API利用時の認証に使う情報です。
対象はAndroid版、iOS版ともにver.6.2.0およびそれ以前です。片方の端末だけを確認して終えるのではなく、社内で利用している両方の版を確認する必要があります。
脆弱性の識別番号はCVE-2026-75559、分類はCWE-201です。深刻度を示すCVSS基本値は、評価方式4.0で6.9、3.0で5.3とされています。これは認証情報が漏えいする可能性についての公表であり、実際の漏えい被害が確認されたという発表ではありません。
旧認証情報は無効化済み、アプリ更新も必要
JVNによると、開発者はAPI利用事業者へ新しいアクセスIDとアクセスキーを発行しています。漏えいの可能性がある旧アクセスIDとアクセスキーは、すでに無効化されています。
JVNは、この無効化により今回の脆弱性は悪用できないとしています。一方で、開発者の情報に従ってアプリを最新版へ更新するよう求めています。認証情報の無効化と端末側の更新は、分けて確認する項目です。
提供された発表情報には、更新先となる最新版の具体的な番号や、更新操作の画面名は書かれていません。対象版の番号だけで更新完了を判断せず、開発者の更新案内と照合してください。
影響する会社・しない会社
- 影響する: Android版またはiOS版のver.6.2.0以前を使っている会社です。API連携の利用有無だけで対象外と判断せず、まず端末の版を確認します。
- 影響する: 車検証閲覧アプリのAPIを利用する事業者です。新しいアクセスIDとアクセスキーの受領状況と、連携システムへの反映状況を確認する必要があります。
- 影響しない: 車検証閲覧アプリも、そのAPI連携も利用していない会社は、今回の更新・認証情報切り替えの直接の対象ではありません。
会社の規模や業種による対象の違いは、発表には書かれていません。情シスだけで利用状況が分からない場合は、車検証を扱う担当部署にも確認するのが実務上の出発点です。
情シスが今日やること
以下は社内対応の進め方の提案です。発表に対応期限は書かれていません。
- 本日中に、車検証を扱う担当部署へアプリとAPI連携の利用有無を照会します。利用端末と連携システムの担当者も併せて確認してください。
- 利用者または端末管理担当者に、Android・iOSそれぞれのアプリの版を確認してもらいます。ver.6.2.0以前の端末を一覧にし、開発者の案内に従って最新版へ更新します。版の確認画面の名称は、発表には書かれていません。
- API連携の担当者に、新しいアクセスIDとアクセスキーを受領したか、連携設定へ反映したかを確認してもらいます。設定画面の場所は発表には書かれていないため、利用中のシステムの担当者と確認します。
- 更新と認証情報の反映を終えたら、担当部署と連携の動作を確認します。未対応の端末や設定が残る場合は、担当者と社内の完了予定日を決め、確認結果を記録してください。
