Android、216件の脆弱性を修正 操作不要でコード実行の恐れ、自社の端末は大丈夫か

グーグルは11月2日、Androidの2026年11月分のセキュリティ情報を公開した。216件の脆弱性を修正し、Frameworkには追加の実行権限なしにリモートでコードを実行される恐れのある「重大」が含まれる。悪用にユーザーの操作は不要という。対象はAndroid 14～17で、パッチレベル「2026-11-05」以降の端末が全項目に対応する。

　グーグルは11月2日、Androidの2026年11月分のセキュリティ情報を公開した。修正した脆弱性は216件（CVE単位）。パッチレベル「2026-11-05」以降の端末は、公開情報に掲載したすべての問題に対処済みとなる。

　最も重大度が高いのは、Frameworkコンポーネントの「CVE-2026-58868」だ。追加の実行権限を必要とせず、リモートでコードを実行されるおそれがあり、悪用にユーザーの操作は不要という。更新の対象はAndroid 14～17。

　システム領域にもリモートコード実行の「重大」が2件（CVE-2026-58876、CVE-2026-58936）あり、同じくAndroid 14～17が対象となる。このほか「重大」には、権限昇格のCVE-2026-55275、CVE-2026-55283、CVE-2026-58984と、サービス拒否のCVE-2026-58814、CVE-2026-58882が並ぶ。

　パッチレベル「2026-11-05」の側では、カーネルのBluetoothやpKVMなどに関する権限昇格も「重大」と位置付けた。

　重大度の評価は、攻撃対象の端末で脆弱性が悪用された場合の影響に基づくと、グーグルは説明している。一方、公開情報には、実際に悪用が確認されたとの記載は見当たらない。

　パッチレベルは「2026-11-01」と「2026-11-05」の2段階で提供する。Androidのパートナー各社には、公開の1か月前までにすべての問題を通知していた。AOSPのソースコードのパッチは、公開から48時間以内にAOSPリポジトリへ公開し、その後にAOSPリンクを追加して公開情報を改訂するとしている。

　Android 10以降の端末は、一部の修正をGoogle Playシステムアップデートで受け取れる場合がある。

　グーグルは直近でも、Android系TVボックスにバックドアを仕込んだ製造元を締め出している。

出荷時からバックドア、130万台超のTVボックスが悪用　グーグルが製造元を締め出し

グーグルは11月3日、機器メーカーのVideostrongが出荷時から意図的にバックドアを仕込んでいたとして、Android TVボックスなど130万台超を組み込んだボットネット「XCPE」を、法的措置で解体したと発表した。警察庁も協力した。同社は認定Android機器の製造から排除された。機器を調達する企業にも影響が及ぶ。

　グーグルは11月3日、Android TVボックスなど130万台超をボットネットに組み込んでいたバックドア「XCPE」を、法的措置などで解体したと発表した。Android機器メーカーのVideostrongが、機器の出荷時から意図的にバックドアを仕込み、そのアクセス権を犯罪者に販売していたと「高い確度で評価している」という。公式ブログで明らかにした。

　XCPEは、機器のファームウェアに組み込まれたバックドアだ。購入後も、マルウェアを提供する犯罪者が機器にアクセスできる状態になっていた。感染機器の大半はAndroid TVのセットトップボックスで、遠隔医療機器やデジタルサイネージなど、ほかのAndroid機器でも確認されたという。

　グーグルは「孤立した内部犯行や、開発上のミスではなかった」と指摘する。複数の機種とブランドに、複数年にわたって組み込まれていたという。

　感染した機器は、住宅用プロキシの中継役にされたり、広告詐欺に使われたり、別のバックドアを追加で読み込まされたりしていた。バックドアはシステム権限で動き、「Google Play プロテクト」を無効にしたうえで、利用者に気づかれずにアプリを導入できた。削除しても、再起動すると復活する仕組みだったという。

　グーグルは、Videostrongが制御に使っていたドメインやサーバーに加え、バックドア経由で読み込まれていた十数種類のマルウェアの制御用ドメインも、法的措置で停止させた。これにより、少なくとも1,000万台の追加の感染機器との接続も断てると見積もっている。

　グーグルは、Videostrongと将来の子会社・関連会社について、認定Android機器の製造・販売と、ほかの認定メーカーへのソフトウェア提供を禁じた。

　Videostrongは、コードを難読化して互換性とセキュリティのテストの抜け穴を突き、初回起動後に悪意あるコードを読み込んでいたという。グーグルは既存の審査プロセスを変更した。

　今回の対応には、警察庁のほか、Lumen、HUMAN Security、Plume、Synthient、TrendAIが協力した。グーグルは小売・流通事業者に対し、機器メーカーへの独立したセキュリティ監査の要求と、サプライチェーンの不正に関わったメーカーの取り扱い停止を求めている。

中国メーカー、出荷前のAndroid端末に犯罪用のバックドアを設置か　Googleが取引停止

中国の端末メーカーが製造したAndroid端末に、遠隔から操作できるバックドアを仕込み、そのアクセス権を犯罪者らに販売していた――米Googleは11月3日（現地時間）、Android TV端末など130万台超に不正ソフトが組み込まれ、広告詐欺や不正な通信の中継などに悪用されていたと発表した。

【画像を見る】XCPEマルウェアの概要（公式ブログ）

　関与を指摘されたのは、中国のOEM／ODMメーカーVideostrong Technology（深圳市）。Googleは同社が金銭目的で意図的に不正ソフトを組み込んだと判断し、取引を停止。Google認証済みAndroid端末の製造・販売や、他の認証端末メーカーへのソフトウェア供給も禁じた。

仕込まれた不正ソフト「x.cpe」とは？

　対象となったのは、テレビに接続して動画配信サービスなどを利用するセットトップボックス（STB）を中心とした端末。これらには、外部から遠隔操作できるバックドアとして機能する不正ソフト「x.cpe」が出荷時から組み込まれていた。Videostrongはx.cpeを使い、端末をまとめて遠隔操作するネットワーク（ボットネット）「XCPE」を構築していたという。

　x.cpeは、Googleが端末認証時に行うセキュリティテストをすり抜けるため、端末の初回起動後に不正なコードを読み込む仕組みを採用していた。利用者が同ソフトを削除しても、再起動すると自動的に再インストールされるほか、セキュリティ機能「Google Play プロテクト」を無効化する機能も備えていた。

　Googleの調査では、攻撃者が遠隔から端末の画面をキャプチャーしたり、キー入力を送り込んで端末を操作したりしていたことも確認。その他、アカウント情報やシステムログなどを外部に送信していたという。

感染端末はどう悪用されていた？　通信の中継や広告詐欺に

　Googleによると、Videostrongは犯罪に関わる外部の事業者にバックドアへのアクセス権を販売して収益を得ていた。同社は、アクセス権を購入した事業者が開発した不正ソフトを、遠隔操作で感染端末に導入させていた。

　最も多かったのは、感染端末のインターネット回線を第三者の通信の中継に使う「住宅用プロキシ」としての悪用だ。利用者が知らないうちに、自宅の回線が他人の通信に利用される仕組みで、1台の端末にプロキシ用の不正ソフトが最大3種類組み込まれていた例もあった。Googleは、Videostrongが感染端末から可能な限り収益を得ようとしていたと指摘している。

　このほか、広告の閲覧数を水増しする広告詐欺への悪用や、別の不正ソフトが追加でインストールされていたことも確認した。

警察庁などと連携し妨害　審査体制も強化

　Googleは、日本の警察庁のほか、米Lumen、HUMAN Security、Plume、Synthient、TrendAI（トレンドマイクロのAIセキュリティブランド）と協力し、10月最終週にXCPEの運用を妨害した。ボットネットの制御や不正ソフトの配信に使われていたサーバとドメインに加え、感染端末に後から追加された別の不正ソフトに指令を送るドメインについても、停止に向けた法的措置を講じた。

　追加された不正ソフトはXCPE以外の経路でも広がっているため、Googleは今回の措置により、別の経路で感染した少なくとも1000万台の端末についても、攻撃者のアクセスを断てると見込んでいる。

　Googleは再発防止策として、既存の審査プロセスを見直し、認証済みAndroid TV端末のファームウェア（ハードウェアを管理するためのソフトウェア）に不正なコードが含まれていないか確認する仕組みを強化するとしている。