JVNは2026年10月14日、楽天モバイルのスマートフォン4機種について、起動時の検証機能に既知のテスト用鍵が使われている脆弱性を公開しました。対象は全バージョンで、製品サポートは既に終了しています。社用端末として使っている会社は、保有状況を確認し、利用停止と後続製品への乗り換えなどを検討する必要があります。
確認すべき機種は4つ、版を問わず対象
対象は、Rakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIGsです。いずれも、すべてのバージョンが対象とされています。情シスの確認では、まず機種名で対象を絞ることができます。特定の版だけを対象から外す判断はできません。
問題があるのは、起動時の検証機能であるAndroid Verified Bootです。JVNによると、AOSPのテスト用鍵がそのまま使われています。脆弱性の識別番号はCVE-2026-107153で、「脆弱な認証情報の使用」に分類されています。
JVNは、端末への物理的アクセスによって、細工されたシステムイメージを導入される恐れがあると説明しています。社内への説明では、この攻撃条件と、対象端末を保有しているかどうかを分けて伝えることが重要です。脆弱性の公表だけを根拠に、社内端末で被害が発生したと扱わないようにします。
深刻度の指標であるCVSSの基本値は、バージョン4.0で7.0、バージョン3.0で6.6です。優先順位を決める際は、この数値に加え、社内での利用状況や端末の管理状況を確認してください。
サポート終了済み、利用停止と乗り換えを検討
JVNに掲載された開発者の説明では、対象製品のサポートは既に終了しています。JVNは、対象製品の利用停止と、後続製品への乗り換えなどの検討を呼びかけています。
今回の対応は、通常の更新作業の確認だけで終わらせず、利用を続けるかどうかの判断につなげる必要があります。端末の利用者、業務用途、代替端末の有無をそろえ、停止時の業務への影響も確認してください。具体的な利用停止期限は、発表には書かれていません。社内では確認期限と判断する担当者を決めて進めます。
影響する会社・しない会社
- 影響する: 対象4機種を社用スマホとして使っている会社です。すべてのバージョンが対象のため、機種ごとに保有台数と利用者を確認する必要があります。
- 影響する: 対象4機種を業務利用として認めている会社です。会社の保有端末だけでなく、従業員が業務に使う端末の機種も確認してください。
- 影響しない: 対象4機種を保有せず、業務利用もない会社は、今回公表された対象端末への対応は不要です。ただし、他の機種の安全性を示す発表ではありません。
情シスが今日やること
- 本日中に端末一覧から対象機種を抽出します。 IT資産台帳の機種名欄を確認してください。端末管理サービスを使っている場合は、その端末一覧も照合します。画面名や操作手順は発表には書かれていないため、自社の管理方法に沿って確認します。
- 本日中に利用者と端末管理の担当者へ確認を依頼します。 抽出した端末について、現在の利用者、業務用途、保管場所を確認します。台帳に載っていない業務利用端末も、機種名の申告を依頼してください。
- 対象が見つかったら、利用部門と停止・代替の方針を決めます。 サポート終了済みであることと、JVNの利用停止・乗り換え検討の呼びかけを伝えます。業務を止められる時期、代替端末の準備、判断期限を担当者と合意してください。
- 停止や乗り換えを決めた端末のデータ処理を確認します。 利用部門と、引き継ぐ業務データや返却先を整理します。完了後は資産台帳の利用状況を更新し、停止対象が通常の貸出対象に戻らないよう、貸出担当者にも知らせてください。
