1年前に騒がれたFeliCaの脆弱性、JVNがようやく公表 深刻度は「高」
IPAとJPCERT/CCが共同で運営する脆弱性対策情報ポータルサイト「Japan Vulnerability Notes」（JVN）は7月21日、ソニーの非接触ICカード技術「FeliCa」の一部ICチップに、深刻度「高」の脆弱性（CVE-2026-59776）が見つかったと公表した。
2025年7月24日にアンノウン・テクノロジーズの切敷裕大氏がIPAに届出をした後、25年8月28日に共同通信が報じ、大きな騒ぎになった脆弱性が、約1年経ってようやく公表された。当時は正式公開前に報道が先行したことが問題視され、経産省などが脆弱性情報の取り扱いに関する異例の要請を出す事態になっていた。
JVNの発表によると、脆弱性の深刻度を示すCVSS v4.0のスコアは7.0、CVSS v3.0は6.8（いずれも10点満点中）。攻撃には対象となるカードなどへの物理的なアクセスが必要と評価されており、ネット経由などで遠隔から狙えるものではない。
対象は2017年以前に出荷された一部のICチップ。暗号処理に必要な処理が欠如しており、特定の操作によりチップ内データの読み取りや改ざんが可能になるという。
攻撃にはカードへの物理的なアクセスが前提（攻撃元区分：物理）で、攻撃の複雑性は「低」。JVNは、サービスシステム側で実施するワークアラウンドを対策として案内している。
ソニーの告知より
JR東の告知より
JVNはサービス事業者に対し、ソニーが提供する対策ガイドラインや技術文書に従ってシステム側で影響確認と対策を行うよう求めた。利用者向けには、カードの盗難やスキミングを防ぐよう求めている。
ソニーも同日付でお知らせページを更新し、関連事業者向けに対策ガイドラインを発行して対策を進めてきたと説明。JR東日本もSuicaについて本件に起因する影響は確認されていないと発表した。
報告からJVNでの情報公開まで約1年を要しているが、長期化の理由は公表されていない。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
こんなメディアも見られています
ITmedia NEWSに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
SpecialPR
本日の新着記事
アクセスランキング
-
1
日本人の大腸がん、約半数に“腸内細菌の毒素”が関与 40歳以下の発症は7割 東大・阪大が200人を全ゲノム解析
-
2
「お前たちのクラウドはわれわれのもの」 IDCFクラウドの管理画面に出た攻撃者のメッセージ 内容に運営元は
-
3
「コミューン」不正アクセスでLINEヤフー、Sansan、パナソニックでも会員情報漏えいの可能性
-
4
履歴書100通に1通「AIだけが読める文字」 20万件調査でわかった“就活ハック”の手口 米研究
-
5
農水省の“クソダサ”ポスター話題 「AIよりよっぽど良い」の声も 担当者に狙いを聞いた
-
6
山中で遭難の16歳少年、登山計画に生成AI「Claude」利用 救助隊は「ルートの妄信」警鐘
-
7
SBI証券、Google・Appleパスキー乗っ取り被害「確認されていない」 注意喚起は他社事案
-
8
JR東日本、「えきねっと」「ビューカード」などで漏えいか メルアドなど最大609万件 IDCFへの不正アクセスで【追記あり】
-
9
ChatGPT、無料版を含む全ユーザーに「GPT-6」 回答内に“操作できる画面”を生成する「Intelligent UI」搭載
-
10
OpenAI、安全性研究者3人を解雇 本人らは「安全性を優先したため」と主張、同社は「機密情報の扱いに関する規定違反」と説明
ITmedia NEWS SNS
@itmedia_newsをフォロー
インフォメーション
注目情報をチェック
ITmediaNEWSをフォロー
あなたにおすすめの記事PR