Galaxyに操作不要で乗っ取られる脆弱性3件、7月更新で修正 CVE-2026-21047

トップ/記事一覧/Galaxyに操作不要で乗っ取られる脆弱性3件、7月更新で修正 CVE-2026-21047

ニュース2026年7月28日公開本日更新

この記事のポイント

サムスンのGalaxyに、利用者が何もしなくても外部からコードを実行される恐れのある脆弱性が3件見つかりました。通話の中核と画像の読み込み処理が対象で、画像側の2件は昨年スパイウェアに悪用された部品と同じ系統です。7月のセキュリティ更新で修正済みで、設定画面から適用状況を確認できます。

サムスンが公開した2026年7月のGalaxy向けセキュリティ更新に、利用者が何も操作しなくても、外部から端末上でプログラムを実行される恐れのある脆弱性が3件含まれていたことが分かりました。リンクを踏む必要も、アプリを入れる必要もありません。

1件は通話の中核部分、残る2件は画像の読み込み処理にあります。そして画像側の2件は、昨年スパイウェアに実際に悪用された部品と同じ系統です。ただし今回の3件について、実際に攻撃されたという報告は現時点でありません。

対処は簡単で、7月のセキュリティ更新（SMR Jul-2026 Release 1）を適用するだけです。多くの機種にはすでに配信されています。この記事では、3件が何をされる欠陥なのか、自分の端末が適用済みかをどう確かめるのか、そして更新が届かない機種はどれかまでを整理します。

操作不要で狙われる3件の中身

7月の更新は全体で57件の修正を含みます（Googleが提供するAndroid共通分が41件、サムスン独自分が16件）。このうちサムスン独自分で内容が公表されているのは14件（2件は非公開）。そのうち「remote（遠隔）」と書かれているのがこの3件で、残りはすべて、すでに端末内に入り込んだ攻撃者が権限を上げるための「local（端末内）」なものです。

識別番号	どこの欠陥か	何をされるか	サムスンの評価
CVE-2026-21047	通話の中核（ImsService）	遠隔からプログラムを実行	高（High）
CVE-2026-21045	画像の読み込み（TIFF形式）	遠隔からメモリを書き換え	高（High）
CVE-2026-21048	画像の読み込み（DNG形式）	遠隔からメモリを書き換え	高（High）

3件とも「境界外書き込み」と呼ばれる型の欠陥です。プログラムがデータを置くために確保した領域の外へ、はみ出して書き込んでしまう不具合で、はみ出した先を攻撃者に狙い通り操作されると、その端末上で好きな命令を実行させられます。

CVE-2026-21047：通話の土台に、初めての「遠隔」

舞台となるImsServiceは、聞き慣れない名前ですが、日々使っている機能そのものです。IMSは携帯電話会社が音声通話やメッセージをインターネットの技術で運ぶための仕組みで、具体的にはVoLTE（高音質通話）、Wi-Fi通話、+メッセージのような高機能メッセージがこの上で動いています。Androidの標準的な作りでは、この部分は端末メーカーや通信事業者が独自に実装することになっており、Galaxyにはサムスン版が載っています。

サムスンの記載は「遠隔の攻撃者が任意のコードを実行できる可能性がある」という、やや控えめな書き方です。危険度は共通のものさしCVSSの新方式（4.0）で8.3。ただし攻撃には特定の前提条件が必要と判定されており、誰でもどこからでも撃てるわけではありません。通話の信号がやりとりされる経路に入り込める立場——たとえば偽の基地局を立てる、といった条件が要ると読むのが自然です。

注目したいのは、この部品で「遠隔」の欠陥が公表されたのは今回が初めてだという点です。ImsServiceの過去の脆弱性（2025年9月公表のCVE-2025-21026・21027・21031）は、いずれも端末内からの攻撃を前提とした「中（Moderate）」評価でした。同じ場所の欠陥が、届く距離の面で一段上がった形になります。

CVE-2026-21045／21048：画像を読み込むだけで書き換えられる

残る2件は、Galaxyが画像を表示するときに使う変換処理にあります。対象の形式はTIFF（21045）とDNG（21048）。DNGはスマートフォンやカメラで撮る「RAW画像」の形式のひとつで、Galaxyのカメラでも扱えます。細工した画像を端末に読み込ませると、メモリの領域外へ書き込まれます。

画像処理の欠陥が怖いのは、「送りつけて相手が見るだけ」で成立しうるためです。メッセージに添付する、Webページに置く、といった経路で届きます。21045は脆弱性の情報を買い取って開発元へ渡すZDIという枠組み経由で、21048は個人の研究者から報告されました。

画像処理の2件は、スパイウェアに使われた部品と同じ系統

ここが今回いちばん気になる点です。21045と21048が見つかったのは、Galaxyの画像処理を担うQuram社製のコーデック（画像の変換部品）です。そして2025年、まさにこの部品の欠陥が、実際にスパイウェアの侵入口として使われました。

CVE-2025-21042とCVE-2025-21043の2件で、いずれも同じQuram製コーデックの境界外書き込み。米政府CISAの実際に攻撃が確認された脆弱性のリスト（KEV）に、2025年10月と11月に登録されています。セキュリティ企業の分析では、商用のAndroid向けスパイウェアがこの穴を突いてGalaxyに侵入していたと報告されました。

誤解のないように書いておくと、今回の21045・21048が同じ攻撃に使われているわけではありません。別の欠陥です。ただ、1年のうちに同じ部品から繰り返し「画像を読ませるだけで書き換えられる」欠陥が出ており、しかも前回は実際に悪用された——この事実の重さは、危険度の数字だけを見ていると読み落とします。「見ただけで感染する」型の攻撃は、iPhoneを狙ったスパイウェアDarkSwordのように、スマートフォン全般で繰り返し確認されています。

対処が同じであることは救いです。3件とも、7月の更新ひとつで塞がります。

誰が、何のために狙うのか

こうした欠陥に手を伸ばすのは、無差別にばら撒く相手ではありません。想定されるのは、特定の人物の端末に入り込みたい側——商用スパイウェアを開発・販売する事業者と、それを買って記者や活動家、企業の要職者を監視する顧客です。前回のQuram製コーデックの件が、まさにその形で使われました。

彼らが求めるのは、相手に何も気づかせずに端末の中へ入る入口です。利用者の操作を必要としない欠陥は、この目的にとって最も価値が高い。だからこそ高値で取引され、狙った相手にだけ静かに使われます。無差別に撒けば見つかってしまうため、逆に「自分は狙われるほどの人間ではない」層に被害が及ぶ可能性は低くなります。

つまり、大多数の利用者にとって今すぐ端末を止めるような話ではありません。ただし更新が配られている以上、当てない理由もありません。そして、記者・弁護士・研究者・企業の意思決定に関わる人など、狙われる側に心当たりがあるなら、優先度は変わります。スマートフォンのアプリ配信の仕組みが狙われたCapgoの事例のように、端末そのものより「端末に届く経路」が狙われる構図は増えています。

自分の端末が適用済みか、どう確かめるか

確認は30秒で終わります。設定 → 端末情報 → ソフトウェア情報と進み、「セキュリティソフトウェアのバージョン」の欄を見てください。ここが「SMR Jul-2026 Release 1」以降になっていれば対処済みです。サムスンによれば、この表示にはサムスン自社分とGoogle分の修正がすべて含まれます。

まだの場合は、設定 → ソフトウェア更新 → ダウンロードしてインストールで適用できます。配信は7月7日ごろから順次始まっており、Galaxy S25シリーズは7月中旬に世界展開、そのほかの機種も7月下旬にかけて広がっています。ただしサムスンは「配信時期は地域や機種によって異なる」「一部の通信事業者は四半期ごとの更新のみ対応する」と注記しており、まだ届いていない場合もあります。

更新の頻度は機種によって違います。毎月更新の対象はS26／S25／S24／S23の各シリーズ、Z Fold・Z Flipの4〜7世代、A56 5Gなど。四半期ごとはS22シリーズ、S21 FE、Z Fold3・Flip3、A・M・Fシリーズの多く、Tabシリーズなどで、こちらは少し遅れて届きます。

そして、更新が届かない機種があります。サムスンが公開している対象一覧に載っていないもの——Galaxy S21／S21+／S21 Ultra（FEを除く）、S20シリーズ以前、Noteシリーズ、Z Fold・Z Flipの初代と2代目、A52・A72以前のAシリーズなどです。サムスンは「使用をやめよ」とは明言していませんが、これらの端末では今回の3件は塞がりません。なお同社は2024年1月以降の機種について、最長7年のセキュリティ更新提供を表明しています。

日本のGalaxy利用者にとっての意味

日本でのGalaxyの位置づけを、数字で確認しておきます。MM総研の2025年度（2025年4月〜2026年3月）国内出荷台数調査によれば、サムスンは353.1万台・シェア11.0%で3位。1位はApple（1,615.4万台・50.1%）、2位はGoogle（398.2万台・12.4%）です。実際に使われている端末で見ると、MMD研究所が4万人を対象に行った2026年2月の調査では、Androidを使っている人のうちGalaxyは14.3%で4位（AQUOS 25.9%、Xperia 16.3%、Pixel 16.2%に次ぐ）。国内のスマートフォン全体ではおよそ14台に1台という規模感になります。

流通経路も広く、2026年3月発売のGalaxy S26シリーズはNTTドコモ・au・ソフトバンク・楽天モバイルの4社すべてから発売されました。SIMフリー版はサムスン公式のオンラインショップやIIJmioで、普及価格帯のA25 5GはUQ mobileやワイモバイルでも扱われています。原宿と大阪には直営の店舗もあります。

通話の中核を狙う件について、日本固有の事情をひとつ。国内の4キャリアはいずれもVoLTEが標準で、IMSは常に使われています。「その機能を使っていないから対象外」という逃げ道はありません。ただし前述のとおり、攻撃には通信経路に入り込む前提条件が必要と評価されており、通常の利用でいきなり踏むものではない、というのが正確な理解です。

騒がれていないが、それは安全という意味ではない

最後に、現時点で分かっていることと分かっていないことを、正直に並べます。

分かっていること。3件ともCISAの攻撃確認リスト（KEV）には載っていません。悪用の可能性を示すEPSSという指標も、CVE-2026-21047についてはまだ算出されていません（画像処理の2件は0.004前後と低い数値です）。攻撃用のプログラムも公開されていません。CISAが付与した評価では、悪用の状況は「なし」、自動化の可否は「不可」とされています。サムスン自身の評価も「緊急（Critical）」ではなく「高（High）」で、この7月の更新には緊急に分類されたサムスン独自の項目はひとつもありません。

分かっていないこと。技術的な詳細は一切公開されていません。どの経路から、どんなデータを送ると成立するのかは不明です。また、CVE-2026-21047は7月の更新の公開から18日遅れて識別番号が公表されており、他の項目とタイミングがずれています。理由は説明されていません。

そして報道がほぼありません。この記事の執筆時点で、国内外の主要なセキュリティ媒体でCVE-2026-21047を扱ったものは見つかりませんでした。日本語では7月15日に企業のブログが1件、更新全体の57件を紹介していますが、この脆弱性には触れていません。日本の脆弱性情報データベースJVNにも、JPCERT/CCやIPAの注意喚起にも登録がありません。ただしこれは「危険がない」ことの証明ではなく、単に公表から日が浅いことの反映です。前回のQuram製コーデックの件も、悪用が明らかになったのは修正の公開から数か月後でした。静かなうちに更新を済ませておくのが、いちばん安く済みます。

まとめ

2026年7月のGalaxy向けセキュリティ更新には、利用者の操作なしに遠隔から悪用されうる脆弱性が3件含まれていました。通話の中核であるImsServiceのCVE-2026-21047（CVSS 4.0で8.3）と、画像の読み込み処理のCVE-2026-21045・21048です。実際に攻撃されたという報告はなく、サムスンの評価も「高」にとどまります。

やることは設定から7月の更新（SMR Jul-2026 Release 1）を適用する、それだけです。適用済みかは「設定 → 端末情報 → ソフトウェア情報」で30秒で確認できます。気に留めておきたいのは2点。画像処理の2件は、昨年スパイウェアに悪用された部品と同じ系統から出ていること。そしてS21シリーズ以前など、更新自体が届かない機種があることです。後者に当てはまる場合、この3件は塞がりません。新しい情報や実際の悪用が確認されれば、この記事に追記します。