楽天モバイルの Android スマートフォン 4 機種に、改ざんされたシステムを正規のものとして起動してしまう脆弱性が見つかりました。ITmedia NEWS が 2026-10-15 に報じ、JVN も 10-14 に公表しています。いずれもサポート終了済みで、今も使っている人は対応が必要です。
主なポイント
- 対象は Rakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIG s の 4 機種です。
- 起動時に OS の正当性を確かめる Android Verified Boot (AVB) が、AOSP のテスト用鍵をそのまま使っていました。この鍵は公開されているため、第三者が署名した改ざんファームウェアも正規と判定されます。
- 端末に直接触れられる攻撃者が細工したシステムイメージを入れると、権限の取得、不正なプログラムの実行、設定の変更などをされる恐れがあります。
- 深刻度は CVSS v4.0 で 7.0、v3.0 で 6.6 です (JVN47427200)。
- 楽天モバイルは 9 月 28 日に問題を把握したと案内し、対象機種の使用をやめて他製品を使うよう勧めています。修正アップデートの提供は記事では触れられていません。