楽天とワイモバイルのスマホに脆弱性8件、通信が止まる CVE-2026-21548

2026年8月1日、スマートフォンの心臓部にあたる半導体を作っている中国のUNISOC（ユニソック、紫光展鋭）が、自社チップの脆弱性8件を公表しました。対象に含まれる「T8100」というチップは、ワイモバイル・ソフトバンク・楽天モバイル・IIJmioが日本で売っている4機種のスマートフォンに載っています。いずれも2025年12月から2026年3月にかけて発売された、2万円台から3万円台の機種です。

先に結論を書きます。8件はすべて「通信が止まる」だけで、写真や連絡先、パスワードといった中身が盗まれるものではありません。UNISOCの公表内容でも、8件とも情報の漏えいとデータの改ざんについては「影響なし」と分類されています。慌ててスマートフォンを買い替える必要はありません。

問題は別のところにあります。この8件について、利用者の側でできることが現時点で何もありません。UNISOCの公表文には修正版の提供時期もパッチの版数も書かれておらず、書かれているのは「端末メーカーは問い合わせ窓口へ」の一文だけです。設定を変えて回避する手段も示されていません。8月3日時点で、該当する4機種のどれにも8月のセキュリティ更新は届いていませんでした。

そしてもうひとつ。この8件を報じた日本語の記事は、8月3日時点で見つかりませんでした。ITmedia、ケータイWatch、Security NEXT、ScanNetSecurityのいずれにも該当記事がなく、はてなブックマークにも登録がありません。日本のキャリアが売っている端末が対象に入っているにもかかわらず、です。

自分のスマホが対象かどうか

最初に確認すべきはこれだけです。日本で売られている端末のうち、今回のチップを積んでいるものを各社の公式ページで調べました。

名前が似ていますが、nubia S 5Gだけは今回の対象外です。載っているチップがT760で、今回UNISOCが挙げた型番に含まれていません。同じブランドの同じような価格帯の機種なので混同しやすいところですが、こちらは今回の話とは無関係です。

UNISOCが挙げた型番は、スマートフォン向けがT8100・T9100・T8200・T8300の4種類（Android 13から16が対象）、それに加えて通信機器向けのUDX710です。このうち日本国内での搭載機種を確認できたのはT8100だけでした。T9100・T8200・T8300を積んだ端末が国内で売られているかは、公式情報からは確認できていません。UDX710はモバイルルーターなどに使われるチップですが、国内で売られているルーターの多くはチップの型番を公表していないため、こちらも判断がつきませんでした。「該当なし」ではなく「調べたが分からなかった」という意味です。

自分の端末のチップを確認したい場合は、各社の仕様ページを見るのが確実です。ワイモバイルのnubia S2、楽天モバイルのnubia S2R、ソフトバンク法人のnubia S2e、IIJmioのnubia S2 Liteのいずれにも「UNISOC T8100」と明記されています。

8件で何が起きるのか

8件はすべて、スマートフォンの中の「モデム」と呼ばれる部分の問題です。モデムは、電波を使って基地局とやり取りする専用の処理装置で、AndroidやiOSといった見慣れた画面の世界とは別に、独立して動いています。電話やデータ通信はすべてここを通ります。

今回の8件は、そのモデムが受け取ったデータの中身を十分に確かめないまま処理してしまうというものです。基地局のふりをした装置から想定外の形のデータを送りつけられると、モデムの処理が破綻します。UNISOCはこれを「リモートからのサービス拒否」と表現しています。平たく言えば、外から電波を当てられて通信機能を落とされるということです。

危険度は8件とも10点満点中7.5で、UNISOCの分類では「高」にあたります。内訳を見ると、機密性への影響「なし」・完全性への影響「なし」・可用性への影響「高」となっています。7.5という数字は「認証もユーザーの操作も要らず、ネットワーク越しに通信を完全に止められる」という一点だけから来ています。中身を盗まれる、書き換えられる、といった要素は入っていません。

ひとつ正直に書いておきます。UNISOCは、通信が止まった後に端末がどうなるのかを公表していません。再起動すれば直るのか、圏外の状態が続くのか、電波の届く範囲に居続ける限り何度でも落とされるのか。公表文にはそこまでの記述がなく、この記事でも書けません。ここは推測せず、分からないままにしておきます。

CVE-2026-21548: 5G通信部分の入力確認不足

8件のうち唯一、記述が他と違う1件です。UNISOCの原文は「nr modem」——nrは5Gの通信方式を指す略語で、5G部分の処理を担うモデムということです。他の7件が単に「modem」としているのに対し、これだけ場所が具体的に書かれています。対象はT8100・T9100・T8200・T8300、Android 13から16。

なお、この1件の説明文には「System実行権限が必要」という但し書きが付いています。ところが危険度の内訳では「必要な権限なし」と分類されており、説明文と数値の分類が食い違っています。CVEの登録記録を直接確認しましたが、どちらが正しいのかを判断できる材料はUNISOC側から示されていません。

CVE-2026-21549 / 21550 / 21551 / 21552 / 21553: 説明文が同一の5件

この5件は、UNISOCが公表した説明文がほぼ同一です。「モデムに入力確認の不備があり、リモートからのサービス拒否につながる可能性がある」という一文だけで、対象チップ（T8100・T9100・T8200・T8300）も危険度（7.5）も、脆弱性の分類（入力確認の不備）もすべて共通しています。CVE-2026-21550とCVE-2026-21551、CVE-2026-21552、CVE-2026-21553のそれぞれについてNVDの登録内容を個別に確認しましたが、区別できる情報は載っていませんでした。

別々のCVE番号が振られている以上、内部的には別々の欠陥のはずです。しかし外から見て何がどう違うのかは分かりません。これはUNISOCに限った話ではなく、チップメーカーがモデムの脆弱性を公表するときによくある書き方です。攻撃者に手がかりを与えないという意図はあるにせよ、使う側からすると「自分の端末が直ったかどうか」を確かめる手がかりも同時に失われます。

CVE-2026-21554 / 21555: スマホではなく通信機器向けのチップ

残る2件は対象が違います。CVE-2026-21555とあわせ、この2件が対象とするのはUDX710というチップで、動いているのはAndroidではなくYoctoというLinuxの一種です。スマートフォンではなく、モバイルルーターや固定回線の代わりに使う通信機器、産業用のIoT機器などに組み込まれる系統のチップです。

脆弱性の中身は他の6件と同じで、モデムの入力確認の不備によるサービス拒否、危険度7.5です。ただし影響の受け止め方は変わります。スマートフォンなら通信が止まったことに持ち主がすぐ気づきますが、据え置きの通信機器は、止まったことに誰も気づかないまま放置される可能性があります。国内で売られているモバイルルーターのうちどれがUDX710を積んでいるかは、各社が搭載チップを公表していないため確認できませんでした。

誰が狙い、何をして、何が起きるか

この8件を突くには、攻撃したい端末の近くまで来て、偽の基地局を立てられる相手である必要があります。インターネット越しにどこからでも、という種類のものではありません。基地局のふりをする装置は市販の無線機材と公開されているソフトウェアで組めますが、電波は物理的に届く範囲にしか飛ばないため、攻撃者と対象が同じ場所に居合わせることが前提になります。世界中を自動で巡回するプログラムが勝手に見つけて踏んでいく、という性質のものではありません。

その相手にできるのは、狙った範囲の端末の通信を落とすことだけです。中身を読むことも、書き換えることもできません。使い道があるとすれば、通報や連絡をさせたくない場面で特定の場所の通信を潰す、といった限定的なものになります。逆に言えば、この8件を使って個人の写真や口座情報を抜くことはできません。不特定多数の利用者にとっての実害は、現時点では想定しにくいのが正直なところです。

実際、8月3日時点で悪用された形跡は見つかっていません。米国の政府機関CISAがまとめている実際に攻撃されている脆弱性の一覧を確認しましたが、8件とも登録されていません。実証コードの公開も確認できず、攻撃を受けたという報道もありません。これは「安心してよい」と書ける材料です。ただし、モデムの脆弱性は仕組み上、攻撃されても持ち主には「電波が悪い」としか見えないため、そもそも被害として表面化しにくいという事情はあります。

直す手段が、利用者の側にない

実害が想定しにくい一方で、この件にはすっきりしない部分があります。直し方が誰からも示されていないことです。

UNISOCの公表文には、修正版の版数も提供時期も書かれていません。書かれているのは「端末メーカーは問い合わせ窓口へ連絡を」という一文だけで、これは端末を作っている会社に向けたもので、使っている人に向けたものではありません。設定変更などで一時的に危険を減らす方法も示されていません。

では端末側はどうか。8月3日時点での各社の更新配信状況を調べました。

4機種とも、8月のセキュリティ更新は届いていません。公表が8月1日ですから、これ自体はおかしなことではありません。気になるのは別の点です。各社の告知に書かれている内容が、どれも「セキュリティの向上」の一言で終わっていることです。セキュリティパッチのレベル（Androidが定めている、どの月までの修正が入っているかを示す表記）も書かれていません。

この書き方だと、いざ更新が届いたときにそれが今回の8件を直したものなのかどうかを、利用者が判別する方法がありません。更新の通知が来たら入れる、それ以上のことはできない、というのが現実的な結論です。

Androidの月例セキュリティ速報についても確認しました。Googleは毎月、チップメーカー各社の脆弱性をまとめて公表しており、過去にはUNISOC分が含まれた月もあります。ただし2026年8月分は8月3日時点で未公開で、今回の8件が含まれるかどうかは分かりません。Android公式のセキュリティ速報一覧で最新なのは7月分でした。

日本で売られているのに、日本語で誰も書いていない

この件を調べていて引っかかったのは、脆弱性そのものより情報の落差のほうでした。

UNISOCは、スマートフォン向け半導体の世界出荷で1割から1割半のシェアを持つメーカーです。上位のクアルコムやMediaTekほどの知名度はありませんが、安価な端末の分野では確固たる地位にあります。そして2026年2月には日本語のプレスリリースを出して日本市場への参入を明言し、実際にワイモバイル・ソフトバンク・楽天モバイル・IIJmioの店頭に、このチップを積んだ端末が並んでいます。

それにもかかわらず、今回の8件を報じた日本語の記事は8月3日時点で確認できませんでした。ITmedia、ケータイWatch、Security NEXT、ScanNetSecurityのいずれにも該当がなく、はてなブックマークで「UNISOC」を検索しても、この件のエントリは登録されていません。同じ媒体がnubia S2 Liteの発売は記事にしているのに、そのチップの脆弱性は扱われていない、という状態です。

ここは正確に書いておきます。「UNISOCの脆弱性が日本語で報じられたことがない」わけではありません。2022年に見つかった別のUNISOCチップの脆弱性はPC Watchやマイナビが報じていますし、2026年3月のT612というチップの件も日本語で扱われています。報道がないのは、あくまで今回の8件についてです。

なぜ落差が生まれるのか。ひとつには、チップメーカーの公表が英語のみで、しかも一文だけの説明が並ぶ形式のため、記事にしようとしても書ける中身が乏しいという事情があります。もうひとつは、クアルコムやアップルのように名前が通っていないメーカーの発表は、そもそも追いかけられていないという現実です。ただ、日本のキャリアが自社の店頭で売っている端末が対象に入っている以上、この落差はそのままにしておいてよいものではないはずです。同じ構図は、OSSサプライチェーン スキャナーで扱っている「自分が何を使っているか把握できていない」という問題とも重なります。

今やるべきこと

nubia S2、nubia S2R、nubia S2e、nubia S2 Liteのいずれかを使っている場合でも、いますぐ取るべき緊急の行動はありません。8件はどれも通信を止めるだけで、端末の中身に手が届くものではなく、悪用された形跡もないからです。

やることは3つだけです。ひとつ、更新の通知が来たら入れること。設定アプリの「システム」から手動で確認することもできます。ふたつ、「セキュリティの向上」としか書かれていなくても入れること。中身が書かれていない以上、入れないという判断の材料もありません。みっつ、通信が突然切れて復帰しない状態が繰り返し起きるなら、契約先の窓口に伝えること。今回の件と関係あるかは分かりませんが、症状として記録が残ることには意味があります。

買い替えを検討する必要はありません。今回の件を理由に端末を替えても、次のチップに同じ種類の脆弱性が出てこない保証はどこにもなく、モデムの脆弱性はクアルコムにもMediaTekにも毎月のように出ています。今回のUNISOCが特別に危ういという話ではありません。

この記事は8月3日時点で確認できた情報だけで書いています。8件の中身についてUNISOCが追加の説明を出すか、Androidの8月の速報に含まれるか、各社から修正を含む更新が配信されるか——動きがあれば追記します。

参照元

• ・UNISOC — Product Security Bulletin（2026年8月1日）
• ・UNISOC — Product Security Bulletin 一覧
• ・NVD — CVE-2026-21548
• ・NVD — CVE-2026-21549
• ・NVD — CVE-2026-21550
• ・NVD — CVE-2026-21551
• ・NVD — CVE-2026-21552
• ・NVD — CVE-2026-21553
• ・NVD — CVE-2026-21554
• ・NVD — CVE-2026-21555
• ・MITRE CVE Services — CVE-2026-21548 の登録記録
• ・ワイモバイル — nubia S2 仕様
• ・ワイモバイル — nubia S2 ソフトウェア更新（2026年6月30日）
• ・楽天モバイル — nubia S2R 仕様詳細
• ・nubia 日本公式 — nubia S2R ソフトウェア更新履歴
• ・ソフトバンク法人 — nubia S2e
• ・ソフトバンク — nubia S2e ソフトウェア更新（2026年3月18日）
• ・nubia 日本公式 — nubia S2 Lite
• ・Android — Security Bulletins
• ・CISA — Known Exploited Vulnerabilities Catalog