Snapdragonに脆弱性11件、Wi-Fi経由で操作不要 CVE-2026-25289、悪用なし

スマートフォンの中核部品を作るQualcommが2026年8月4日、自社製チップの脆弱性11件を公開しました。同社の「Snapdragon」は、Xperia・AQUOS・Galaxyなど日本で売られている多くのAndroid端末に入っています。

11件のうち最も重いのが CVE-2026-25289、深刻度は9.6（10点満点）。近くの端末同士が直接つながるためのWi-Fiの仕組みを狙うもので、同じ電波の届く範囲にいれば、ログインも利用者の操作も要りません。

先に結論を書きます。現時点で悪用の報告はありません。Qualcommの速報の告知欄は「None」の一語で、米政府が実際に攻撃されている脆弱性をまとめた一覧（KEV）にも入っていません。いま慌てて何かを止める必要はなく、端末メーカーから更新が届いたら当てる、という対応で足ります。

誰が、何のために狙うのか

この穴を使えるのは、狙った相手と同じ場所に居合わせられる人間だけです。電波が届く距離、つまり同じ喫茶店・同じ電車・同じ会議室といった範囲に入る必要があります。世界中のどこからでも押し寄せられる類のものではありません。

その位置を取れた相手ができるのは、細工した電波を投げつけて、相手の端末の無線部分の動作を壊すことです。壊れ方によっては、無線チップの中で本来は許されていない処理が動きます。Qualcommの評価では、この影響が無線チップの中だけで収まらず、端末の他の部分にまで及び得ると見なされています。

端末を使う人にとっては、電源を入れて持ち歩いているだけで対象になり得る点が厄介です。画面を開く必要も、怪しいリンクを踏む必要もありません。ただし、そこまで手間をかけて近づく相手は、通常は特定の個人や組織を狙う立場の人間です。無差別に広がるウイルスのような性質のものではなく、狙われる理由がある人ほど重いと読むのが実態に近いはずです。会社支給の端末を管理する立場なら、更新の配信状況を追う対象に加えておく価値があります。

最も重い1件は、Wi-Fiの「近くを探す機能」にあります

CVE-2026-25289：長さの申告が嘘でも、そのまま信じてしまう

Qualcommの説明文は一文です。「特定のNANサービス発見フレームにおいて、長さの値が不正なDevice Capability Extended属性を処理する際のメモリ破壊」。

言葉を置き換えます。NANは、Wi-Fiのアクセスポイントを経由せずに、近くにある端末同士が直接お互いを見つけあうための仕組みです。Androidでは「Wi-Fi Aware」という名前で使われており、周囲の機器を探して通信するアプリの土台になっています。その「お互いを見つけあう」やり取りの中で交換されるデータの1つに、「この後に続く情報は何バイトあります」と長さを申告する部分があります。

今回の脆弱性は、その申告が実際と食い違っていても、そのまま信じて処理してしまうというものです。用意した置き場より大きなデータを流し込まれれば、隣の領域が上書きされます。これがQualcommの言う「メモリ破壊」で、分類上は古典的な種類（CWE-121）に当たります。

深刻度の記号は CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。PR:N はログイン不要、UI:N は利用者の操作不要、AV:A は同じ電波の範囲にいることが条件、という意味です。そして S:C ── これが9.6という数字を押し上げている部分で、壊れた影響が無線チップの外にも及び得ることを示します。

なお、Wi-Fi Awareを使うアプリを入れていない端末で成立するのか、機能を切れば避けられるのかについて、Qualcommの速報には記載がありません。実証コードも公開されていません。当サイトが確認できたのは「そういう処理に穴がある」という事実までで、そこから先は書けません。

自分のスマホは対象なのか

Qualcommは対象チップを型番で列挙しています。9.6の1件では201種類。ただしその大半は車載向けや通信機器向けの型番で、一般の人が名前を知っているSnapdragon表記のものは17種類です。

ここで注意が要ります。同じSnapdragonでも、世代によって「入っている一覧」が違います。9.6の1件は比較的新しい世代に寄っており、Snapdragon 865・870・888・8 Gen 1 は、この一覧には入っていません。

表の読み方はひとつです。「最も重い1件の対象でないから安心」とはなりません。9.6から外れている古い世代は、代わりに8.1と7.5の一覧にしっかり入っています。結局のところ、どの世代を使っていても11件のどれかには該当するという結果になります。

なお、Qualcommは一覧の下に「対象チップの一覧は完全でない場合がある」と自ら注記しています。ここに載っていないから対象外だ、と断定はできない、という意味です。

自分の端末に載っているチップは、設定画面からは分かりません。機種名で調べるのが早道です。日本で売られている端末のうち、Snapdragonを積んでいるのはXperiaシリーズ、AQUOSシリーズ、Galaxyシリーズの一部などです。GoogleのPixelはSnapdragonではなく自社製のチップ（Tensor）を使っているため、今回のQualcommの11件は対象外です。ただしPixelには別の1件が出ており、これは後述します。

古い端末に効いてくる2件

CVE-2026-24079：認証情報が足りない要求を、そのまま通す

深刻度8.1。携帯電話の通信部分（モデム）にあるもので、説明は「認証パラメータが不正または欠落した登録要求を処理する際の暗号処理上の問題」。本来なら弾くべき要求を通してしまう種類です。対象は143種類で、865から8 Eliteまで幅広く並びます。報告は2025年7月18日、端末メーカーへの通知は2026年2月2日でした。

CVE-2026-24084：4年近く前に報告されていた1件

深刻度7.5。端末側が、自分の通信能力の情報について整合性を確かめないという設定上の弱さです。通信の世界では、いったん記録した古いやり取りを後から流し込む手口（リプレイ）への備えが要るのですが、その検証が抜けていました。

この1件で目を引くのは日付です。報告されたのは2022年8月25日と速報に書かれています。公開までおよそ4年。無線通信の規格に関わる部分は、直すのに規格側の合意や各社の足並みが要るため時間がかかる、という事情はあります。とはいえ、その間ずっと世に出ていたことに変わりはありません。

残りの件

ほかに、指紋認証の処理に関わるもの（CVE-2026-24080／7.8）、Bluetoothの処理（CVE-2026-24076／6.7）、通信が一時的に止まるもの（CVE-2026-25288／7.4）、個人情報が第三者に見え得るもの（CVE-2026-24078／6.5）などが並びます。車載向けに限られる2件（CVE-2026-24083／CVE-2026-25292）もあり、こちらは一般のスマートフォンには関係しません。

7.4の CVE-2026-25288 は、対象がSnapdragon 8 Elite Gen 5 と 7 Gen 4 の2つだけという珍しい構成です。最新世代にしか入っていない部品が原因ということになります。

悪用は確認されていません

ここは明確に書きます。11件のいずれについても、実際に攻撃に使われたという報告はありません。

根拠は3つです。ひとつ、Qualcommの速報の告知欄が「None」の一語であること。悪用が確認されている場合、同社はここに記載します。ふたつ、米政府CISAが実際に攻撃されている脆弱性だけを載せる一覧（KEV）を確認したところ、8月4日版の全1,660件に今回の11件は1つも入っていません（当サイトで全件を照合しました）。KEVの中身はCISA KEVダッシュボード（日本語版）で追えます。みっつ、実証コードも公開されていません。

Qualcommのチップが実際に狙われた例が、過去にないわけではありません。米政府の一覧に載ったQualcomm関連の脆弱性はこれまでに12件あり、直近は2026年3月3日に追加された CVE-2026-21385です。中身は今回の9.6と同じくメモリ破壊でした。だからこそ、今回の11件にその記載がないことには意味があります。

Pixelに出た1件は、まったく別の話です

同じ8月4日、GoogleがPixel向けの更新情報を出しています。掲載されているのは CVE-2026-0163 の1件だけです。

この番号は数字の見え方が割れているので、丁寧に書きます。

「9.8」という数字は、開発元であるGoogleが付けたものではありません。米政府側の担当部署が後から独自に付けた二次評価です。動画処理の部品に、解放済みの領域を使ってしまう不具合があり、権限の昇格につながり得る、という内容です。

重要なのは対象範囲です。この1件はPixel専用で、Googleが自社で作っているチップ側の部品に起因します。Xperia・AQUOS・GalaxyといったSnapdragon搭載機は対象外です。「深刻度9.8のAndroidの重大な穴」と紹介されることがありますが、実態はPixel限定の1件で、Google自身の格付けは1段階下です。修正はセキュリティパッチレベル2026-08-05以降に含まれ、こちらも悪用の報告はありません。

なお、Android本体の8月の更新情報のほうは、8月5日正午の時点で脆弱性の一覧そのものが載っていない状態です。7月版にも「この更新情報に脆弱性はありません」と書かれており、2か月続けて空という珍しい形になっています。ページには「公開から48時間以内に修正を出して改訂する」という定型文があるため、今後追記される可能性があります。

いつ直るのか。自分でできることは

Qualcommは修正を端末メーカーへ配布中と説明しています。今回の11件のうち、メーカーへの通知は2026年2月2日と5月4日の2回に分かれており、公開の3か月から6か月前には各社の手元に渡っていた計算です。

ただし、そこから利用者の端末に届くまでの時期は各メーカー・各キャリア次第で、公表されていません。Qualcommも「適用状況は端末メーカーに問い合わせを」という案内にとどめています。過去の例では、Androidの月例更新にまとめて載る形で配られることが多く、その場合はセキュリティパッチレベルの日付が目印になります。

利用者の側でできることは3つです。ひとつ、設定画面でセキュリティ更新が来ていないか確認し、来ていれば当てる。多くのAndroid端末では「設定」から「システム」「ソフトウェア更新」と辿ると、適用済みの日付が見られます。ふたつ、更新の提供が終わった古い端末を使い続けている場合は、今回のような件が今後も直らないことを踏まえて買い替えを検討する。みっつ、必要のない場面で無線機能を入れっぱなしにしない。3つ目は今回の穴を確実に防ぐと確認された手段ではありませんが、電波が届く距離が条件である以上、無関係ではありません。

同じくスマートフォンの部品に関する件としては、楽天モバイルやワイモバイルの一部端末が使うUNISOC製チップの脆弱性や、Galaxyに操作不要で狙われる脆弱性が出た件も扱っています。

まとめ

Qualcommが2026年8月4日、Snapdragonなどのチップに関する脆弱性11件を公開しました。最も重いのはCVE-2026-25289で、深刻度9.6。近くの端末同士が直接つながるためのWi-Fiの仕組みに穴があり、同じ電波の範囲にいれば認証も利用者の操作も要りません。

それでも、いま慌てる必要はありません。悪用の報告はなく、実証コードも出ていません。読者ができる対応は、更新が届いたら当てる、それだけです。

この件で押さえておく価値があるのは、世代によって対象の一覧が分かれているという点です。最も重い1件から外れている古い世代も、別の2件では対象に入っています。「新しい機種だから」「古い機種だから」で安心できる構図にはなっていません。

そして、報告から公開まで4年近くかかった1件が混じっていることも記録しておきます。手元の端末が直るのは、メーカーが更新を配ってからです。穴が公開された日と、自分の端末が直る日は別の日です。

よくある質問

いま何かすべきことはありますか

設定画面からセキュリティ更新を確認し、来ていれば適用してください。それ以上のことは求められていません。悪用の報告がなく、実証コードも公開されていないためです。

iPhoneは対象ですか

今回の11件はQualcomm製チップの脆弱性です。iPhoneの通信部品にQualcomm製が使われている世代はありますが、今回の対象一覧はSnapdragonなどQualcomm自身のブランド名で列挙されており、iPhoneの機種名は含まれていません。Appleからの告知も出ていません。

Wi-Fiを切れば防げますか

確認できていません。Qualcommの速報には、どの機能が有効なときに成立するのかという記載がなく、無線を切れば避けられると書かれた一次情報もありません。防げると断定はできない、というのが正確な答えです。

自分のスマホのチップの型番はどこで分かりますか

端末の設定画面には通常表示されません。機種名とあわせてメーカーの製品仕様ページを見るのが確実です。なお対象一覧には、Snapdragon名義以外の型番も多数含まれており、そちらは端末メーカーでないと照合できません。

古い機種で更新が来なくなっています

更新の提供が終了した端末には、今回の修正も届きません。対象一覧には865や870といった数年前の世代も入っており、そこに該当する端末を使い続ける場合、この11件は直らないまま残ります。

参照元

• ・Qualcomm Security Bulletin - August 2026（対象チップ一覧・告知欄の一次情報）
• ・NVD CVE-2026-25289
• ・NVD CVE-2026-24079
• ・NVD CVE-2026-24084
• ・NVD CVE-2026-25288
• ・MITRE CVE Record CVE-2026-25289（公開日時の確認）
• ・Pixel Update Bulletin - August 2026
• ・Android Security Bulletin - August 2026
• ・CISA Known Exploited Vulnerabilities Catalog（2026年8月4日版・全1,660件を照合）
• ・Qualcomm サポート窓口（対象チップの照会先）