LINEのAndroid版に乗っ取りの脆弱性 CVE-2026-16881、26.7.2以上へ

Android版のLINEに、他人のプロフィールを表示しただけで、アプリの権限で勝手にプログラムを動かされる恐れのある欠陥が見つかりました。開発元のLINEヤフーが2026年8月4日に公表したもので、管理番号は CVE-2026-16881。同社の評価は10点満点で 8.7 です。

先に結論を書きます。修正はすでに終わっています。直っているのはバージョン 26.7.2 以降で、これは今年の初夏に配られた版です。Google Playストアで配られているLINEは2026年7月14日にも更新されており、自動更新を有効にしたまま使っている人は、すでに対処済みの版になっています。

さらに同社は、アプリを更新していない人も守られるように、サーバー側での対策も入れたと説明しています。実際に攻撃に使われたという報告も、攻撃用のプログラムが出回っているという情報も、現時点ではありません。

それでも書いておく価値があると考えたのは、LINEの国内の月間利用者が1億人を超えているからです（2025年12月末時点）。自動更新を切っている人、しばらく端末を触っていない人、家族の古いスマホを管理している人にとっては、確認する意味があります。何が起きる欠陥なのか、自分が対象か、どこを見れば分かるのかを順に整理します。

誰が、何のために狙うのか

この手の欠陥で得をするのは、不特定多数のLINE利用者に、自分から近づける立場の人間です。友だち追加を装って近づく詐欺グループや、アカウントを大量に用意して待ち構える業者が典型です。相手のスマホに侵入するのではなく、相手のほうから自分のプロフィールを見に来てもらうという形になります。

やることは単純で、自分のプロフィール欄に細工した中身を仕込んで、それを見た相手のLINEに命令を実行させることです。プロフィールは、友だち追加の確認画面やトーク一覧、グループのメンバー一覧など、日常のあらゆる場面で表示されます。相手にファイルを送りつける必要も、リンクを踏ませる必要もありません。名前を見て「誰だろう」とタップする、その動作だけで足ります。

では何を失うのか。動く命令はLINEアプリの権限の範囲に限られます。逆に言えば、その範囲ではトーク・連絡先・アカウントに手が届き得るということです。一方で、スマホ全体を乗っ取られたり、他のアプリの中身まで抜かれたりする性質のものではありません。この線引きは開発元の評価にもはっきり表れており、詳しくは後の技術セクションで説明します。会社としてLINE公式アカウントを運用している側にとっては、従業員の端末が入口になり得る、という読み方になります。

何が起きる欠陥なのか

LINEのプロフィール画面は、名前とアイコンだけの単純な表示ではありません。背景の画像や動画、装飾、ステータスメッセージなど、利用者が設定した内容を組み合わせて描き出しています。この「組み立てて表示する部分」に問題がありました。

開発元の説明によれば、プロフィールの雛形に外部から埋め込まれた命令文を、十分に検査せず、隔離もしないまま処理していたとのことです。本来なら「これは表示するための文字であって、実行するための命令ではない」と区別しなければならないところで、その区別がついていなかった、ということになります。

結果として、悪意を持って作られたプロフィールを表示した瞬間に、仕込まれた命令がLINEアプリ自身の権限で動いてしまう状態でした。専門的にはコードインジェクション（表示するはずのデータに命令を紛れ込ませる攻撃）と呼ばれる分類で、共通の分類番号ではCWE-94にあたります。

利用者の側から見ると、怪しい操作をした覚えがなくても起きうるのが厄介な点です。添付ファイルを開いたわけでも、外部サイトに飛ばされたわけでもなく、アプリの中で完結する通常の動作だけが必要とされます。

自分のスマホは対象なのか

判断の軸は2つだけです。Androidかどうかと、LINEのバージョンが26.7.2以上かどうか。下の表で当てはまるところを見てください。

現実的には、大半のAndroid利用者はすでに対象外です。26.7.2は初夏の版で、その後も26.8、26.9、26.10、26.11と更新が重ねられてきました。Playストアの表示によれば、LINEは2026年7月14日にも更新されています。自動更新を有効にしたままなら、とうに追い越しているはずのバージョンです。

気にすべきなのは、自動更新をあえて切っている人と、長く使っていない端末です。通信量を節約するために自動更新を止めている、あるいは家族用・子ども用の古い端末を放置している、といったケースでは、初夏のバージョンのまま止まっている可能性があります。

バージョンの確認と更新のしかた

いま入っているLINEのバージョンは、アプリの中から確認できます。LINEを開いてホームタブの右上にある歯車マーク（設定）を押し、一番下の「LINEについて」を開くと、現在のバージョンが表示されます。

更新はGoogle Playストアのアプリページから行います。「更新」ボタンが出ていれば押すだけで、出ていなければ最新版です。念のため自動更新の設定も見ておくとよいでしょう。Playストアのアプリで自分のアイコンを押し、「設定」から「ネットワーク設定」を開くと、アプリを自動更新する条件（Wi-Fi接続時のみ、など）を選べます。

なお、この件についてLINEヤフーはアプリの更新とは別に、サーバー側でも対策を入れたと説明しています。同社の文面は「26.7.2に更新していない既存のAndroid端末も保護する」というもので、更新できない事情がある人にも一定の手当てがされている形です。ただし、その対策がいつ入ったのかは公表されていません。更新できるなら更新するのが確実です。

技術的に見ると

開発元が付けた深刻度は CVSS 4.0 で 8.7、区分は「重要（HIGH）」です。この数字の内訳を読むと、この欠陥の輪郭がはっきりします。

読みどころは最後の行です。影響がアプリの外に出ないと評価されています。Androidにはアプリごとに領域を区切って隔離する仕組みがあり、LINEの中で命令が動いても、その壁は越えないという判定です。「スマホを丸ごと乗っ取られる」類の話ではない、という根拠がここにあります。

もうひとつ補足しておきたいのが「必要な権限は不要（PR:N）」の読み方です。これは被害者がログインしている必要がないという意味で、攻撃する側にとって何も要らないという意味ではありません。プロフィールに中身を仕込む以上、攻撃者の側にはLINEのアカウントが要ります。この前提は評価の数字には反映されていないので、額面より少し手間がかかる攻撃だと考えるのが実際に近いはずです。

なお、米国の脆弱性データベース（NVD）にはまだ独自の評価が入っていません。8月4日時点の状態は「受け付けたが未解析」で、表示されている8.7は開発元が申告した値がそのまま載っているものです。NVDの欄が空白でも「軽微」を意味しません。実際、開発元自身が10点満点で8.7と評価しています。

分かっていないことも書いておきます

今回の公表は、内容が非常に短いものでした。書かれていないことがいくつかあります。

ひとつめは、いつからあった欠陥なのかです。公表文は「26.7.2より前」としか書いておらず、下限のバージョンが示されていません。去年から存在したのか、直前に入り込んだものなのかは判断できません。

ふたつめは、iPhone版やパソコン版はどうなのかです。プロフィールの表示はどの環境にもある機能ですが、公表文はAndroid版にしか触れていません。「他は影響なし」と書かれているのではなく、言及がないという状態です。この記事で対象外と書いているのも、あくまで「公表文に記載がない」という意味に留まります。

みっつめは、修正版がいつ配られたのかです。公表文にリリース日の記載はありません。周辺のバージョン（26.7.0、26.7.1、26.8.0）の配信時期から、26.7系は5月末から6月初めの世代にあたることは分かります。ただし、26.7.2そのものは一般に公開されているアプリの配布履歴サイトで確認できませんでした。一部の利用者から順に配る形だったために記録に残らなかった、という可能性はありますが、断定できる材料はありません。

報告者への謝辞や、発見から修正までの経緯も記載されていません。これらは分かり次第、この記事に追記します。

7月に報じられた「iPhoneが固まる」件とは別物です

7月中旬、LINEの脆弱性が国内で一斉に報じられました。iPhone版のLINEでリンクを開くと画面が固まる不具合（CVE-2026-3861）で、こちらは別の件です。混同しやすいので違いを整理しておきます。

7月の件は「一時的に固まるだけで、トークの中身は盗まれない」性質のものでした。今回はアプリの権限で命令が動く分、性質としては重くなっています。ただし、修正の状況で見れば今回のほうが落ち着いています。7月の件はJVN（国内の脆弱性情報データベース）による注意喚起が出て一斉に報じられたのに対し、今回は8月4日時点でJVNへの掲載も、日本語での報道もまだありません。

よくある疑問

深刻度の欄が空白になっている記事を見ましたが、軽い問題ということですか

違います。米国の脆弱性データベース（NVD）の解析が追いついていないだけで、その同じページの中に開発元が申告した8.7という数字が入っています。公表当日の脆弱性ではよくある状態です。

知らない人からの友だち追加を開かなければ大丈夫ですか

それも有効ですが、確実な対処はアプリを更新することです。プロフィールが表示される場面は友だち追加の画面だけではなく、グループのメンバー一覧などにも及びます。更新してしまえば入口ごと塞がります。

すでに被害に遭っていないか確認する方法はありますか

利用者側で確認できる手がかりは公表されていません。実際に攻撃に使われたという報告も現時点ではありません。気になる場合は、LINEの設定からログイン中の端末に見覚えのないものがないかを見ておくと安心材料になります。

米国政府が公表している「攻撃されている脆弱性の一覧」に載っていますか

載っていません。実際に攻撃が確認された脆弱性だけを集めた一覧（KEV）を2026年8月3日版で確認しましたが、今回の番号はありません。CISA KEVダッシュボード（日本語版）でも収載状況を追えます。

古いスマホでPlayストアの更新ができません

開発元はサーバー側でも対策を入れたと説明しており、更新していない端末も守られるとしています。ただし公表文はそれ以上の詳細を書いていません。更新できる端末は更新するのが確実です。

まとめ

Android版のLINEに、細工されたプロフィールを表示するだけでアプリの権限で命令が動く欠陥がありました。開発元の評価は8.7で、軽い問題ではありません。ただし修正版26.7.2は初夏に配られており、自動更新が効いていれば対処は済んでいます。加えてサーバー側の対策も入っているとされ、実際の悪用も確認されていません。

やることは、Playストアを開いてLINEに「更新」ボタンが出ていないか確かめる。それだけです。出ていなければ何もしなくて構いません。スマホ本体側の脆弱性のように買い替えや通信事業者の対応を待つ必要がある類とは違い、今回は自分の手で数十秒で終わります。

気にかけるとすれば、自分のスマホではなく家族の端末のほうかもしれません。自動更新を切ったまま何年も使っている端末は、案外身近にあります。JVNへの掲載や国内での報道、iPhone版・パソコン版への影響について新しい情報が出た場合は、この記事に追記します。

参照元

• ▸LY Corporation - CVE-2026-16881 セキュリティアドバイザリ（2026年8月4日）
• ▸NVD - CVE-2026-16881
• ▸CVE.org - CVE-2026-16881 レコード
• ▸Google Play - LINE（Android版アプリページ）
• ▸CISA - Known Exploited Vulnerabilities Catalog（2026年8月3日版で確認）
• ▸LINEヤフー - LINE、国内月間利用者数が1億ユーザーを突破（2026年1月29日）
• ▸JVN - 脆弱性対策情報ポータルサイト