JVN iPediaは2026年10月13日、クアルコム製品の脆弱性CVE-2026-25263を掲載しました。同データベースには、このほかに3件の脆弱性情報があり、情報漏えいや改ざん、ソフトウェア停止につながる可能性が示されています。情シスは、社内機器に対象製品が含まれるかを調べ、機器メーカーの対策情報と照合する必要があります。
4件ともローカル攻撃、必要な権限は異なる
今回の4件は、いずれも攻撃元区分がローカルです。ネットワーク経由の攻撃とは区別して、機器上で攻撃に必要な権限を得られるかなどの条件を確認します。4件を同じ条件の脆弱性として扱わないことが重要です。
深刻度を数値で表すCVSS v3の基本値が最も高いのは、認証の欠如に関するCVE-2026-25267です。評価は7.8で「重要」です。非セキュアローダーによる初期化前のページテーブル変更で、メモリが破損します。攻撃には低い特権レベルが必要ですが、利用者の関与は不要です。ソフトウェアが扱う全情報が漏えいする可能性があります。
CVE-2026-25263は、決められたメモリ領域の外へ書き込む「境界外書き込み」の脆弱性です。基本値は6.6で「警告」です。機器を制御する要求であるIOCTLに不正な引数を渡すと、OSの中核にあたるカーネルのメモリが破損します。低い特権レベルに加えて利用者の関与が必要で、ソフトウェアが扱う全情報が改ざんされる可能性があります。
残る2件も境界外書き込みで、基本値はいずれも6.7の「警告」です。CVE-2026-25269は、過剰なバッチ・IOバッファ構成のカメラ要求でメモリが破損し、ソフトウェアが完全に停止する可能性があります。CVE-2026-25270は、不正な長さのコマンドバッファ要求でAndroidカメラドライバーのメモリが破損し、全情報が漏えいする可能性があります。この2件は高い特権レベルが必要で、利用者の関与は不要です。
対象製品の例だけでは、機器の該当を断定できない
対象には、機器の動作を制御するソフトウェアであるファームウェアが含まれます。対象製品一覧の一部を挙げると、次のとおりです。
- CVE-2026-25263：Snapdragon 7c Compute Platform ファームウェア
- CVE-2026-25267：5g Fixed Wireless Access Platform Firmware
- CVE-2026-25269：Snapdragon 8 Elite Gen 5 Firmware
- CVE-2026-25270：Snapdragon 8 Gen 5 Firmware
今回の資料には各脆弱性の対象製品一覧が掲載されていますが、影響する版、修正版、更新の提供時期は書かれていません。対象製品の詳細はベンダ情報および参考情報で確認してください。日本国内の具体的な対象機種や更新の提供状況も、資料には書かれていません。
JVNはCVE-2026-25267について、クアルコムのベンダ情報を確認し、適切な対策を取るよう案内しています。製品名が一致しても、搭載機器の型番とファームウェアの版を確認するまでは、対象かどうかを確定しない運用が必要です。
影響する会社・しない会社
- 影響する: 上記の対象ファームウェアを使う機器を保有・管理する会社です。影響する版の条件は資料には書かれていないため、機器ごとの照合が必要です。
- 影響する: クアルコム製品を使っているものの、搭載製品名やファームウェアの版を把握していない会社は、まず対象確認の作業が必要です。使用しているだけで脆弱性の影響を断定はできません。
- 影響しない: 自社機器が4件いずれの対象にも該当しないと確認できた会社です。上記は対象製品一覧の一部にすぎないため、例に自社製品名がないことだけでは対象外と判断できません。各脆弱性の対象製品一覧とベンダ情報を確認してください。
情シスが今日やること
- 本日中に、資産管理台帳や利用中の端末管理画面の機器一覧を開き、機器の型番、搭載製品名、ファームウェアの版を確認します。画面名や確認場所は今回の資料には書かれていません。不明な項目は推測せず、確認待ちとして記録します。
- JVN iPediaの4件の情報を開き、それぞれの「影響を受けるシステム」にある対象製品一覧とベンダ情報を確認します。機器ごとに該当するCVE番号を記録し、対象外と確認できた機器と、判断できない機器を分けます。
- 判断できない機器は、本日中に機器メーカーや保守窓口へ問い合わせます。型番と現在の版、該当候補のCVE番号を伝え、対象版、修正版、更新方法、提供予定を確認します。資料にない更新期限は、社内で別途決める必要があります。
- 対象と確認できた機器について、管理者と利用部門へ想定される影響を知らせます。メーカーが示す更新条件を確認し、作業日時と担当者を決めます。更新後は版と結果を台帳に残し、回答待ちの機器は次の確認日を設定します。
