2026年5月11日、JVNはスマートフォンアプリ「くら寿司 公式アプリ」における証明書検証不備の脆弱性を公表しました。対象となるのはAndroid版およびiOS版の一部バージョンで、プッシュ通知に関する通信が第三者に盗聴・改ざんされるおそれがあるとされています。
今回の脆弱性は、CVE番号「CVE-2026-41872」として識別されています。CVSS v4.0の基本値は9.1とされており、スコア上は非常に深刻度の高い脆弱性です。ただし、影響が確認されている範囲は、現時点の公開情報では「プッシュ通知に関する通信」に限定されています。
この記事では、今回の脆弱性の概要、何が危険なのか、一般ユーザーが取るべき対応、そして企業やアプリ開発者が学ぶべきポイントをわかりやすく解説します。
くら寿司公式アプリの脆弱性とは
今回公表された脆弱性は、スマートフォンアプリ「くら寿司 公式アプリ」における証明書検証不備です。証明書検証とは、アプリが通信先のサーバーを「本当に正しい相手か」と確認する仕組みのことです。
インターネット通信では、暗号化されているかどうかだけでなく、「通信している相手が本物か」を確認することが重要です。たとえば、鍵付きの封筒で手紙を送っていても、相手の住所や本人確認を間違えていれば、別人に情報を渡してしまう可能性があります。今回の問題は、この「本人確認」にあたる部分に不備があったと考えると理解しやすいでしょう。
JVNによると、対象となるバージョンでは、プッシュ通知に関する通信において証明書の検証が適切に行われない可能性があります。その結果、攻撃者が通信経路上に割り込んだ場合、通信内容を盗み見たり、内容を書き換えたりできるおそれがあります。
対象となるバージョン
今回の脆弱性の影響を受けるのは、Android版およびiOS版の「くら寿司 公式アプリ」2.0.11から3.9.10までです。対策済みバージョンは3.9.11とされています。
| 項目 | 内容 |
|---|---|
| 対象アプリ | くら寿司 公式アプリ |
| 影響を受けるOS | Android、iOS |
| 影響を受けるバージョン | 2.0.11〜3.9.10 |
| 修正版 | 3.9.11 |
| CVE番号 | CVE-2026-41872 |
| 脆弱性の種類 | 証明書検証不備 |
| 関連CWE | CWE-295 |
利用者側で最も重要なのは、アプリを最新版に更新することです。古いバージョンを使い続けると、公共Wi-Fiなど攻撃者が通信経路に入り込みやすい環境で、通信内容を狙われる可能性があります。
何が危険なのか
今回の脆弱性で想定される主なリスクは、プッシュ通知に関する通信の盗聴や改ざんです。盗聴とは、通信内容を第三者に見られることを指します。改ざんとは、通信内容を途中で書き換えられることです。
たとえば、攻撃者が不正な無線LANアクセスポイントを用意し、利用者がそのWi-Fiに接続した状態でアプリの通信が発生すると、攻撃者が通信経路に割り込める可能性があります。このような攻撃は「中間者攻撃」と呼ばれます。
中間者攻撃は、利用者と正規サーバーの間に攻撃者が入り込み、双方になりすます攻撃です。通常、TLSや証明書検証によってこうしたなりすましを防ぎます。しかし証明書検証に不備があると、アプリが不正な通信相手を正しい相手だと誤認してしまうことがあります。
現時点の公開情報では、ログイン情報、予約情報、決済情報などに直接影響するとは明示されていません。そのため、必要以上に不安をあおるべきではありませんが、プッシュ通知関連の通信が盗聴・改ざんされる可能性がある点は、利用者にとって無視できない問題です。
CWE-295とは
今回の脆弱性は、CWE-295に分類されています。CWE-295は「Improper Certificate Validation」、つまり証明書の検証が不適切である弱点を指します。MITREのCWEでは、製品が証明書を検証しない、または誤って検証することで、攻撃者が信頼された相手になりすませる可能性があると説明されています。
証明書は、通信相手の身元を確認するためのデジタルな身分証のようなものです。スマートフォンアプリやWebサービスは、サーバー証明書を確認することで「このサーバーは本物か」「信頼できる認証局から発行されているか」「証明書の期限は切れていないか」「ホスト名は一致しているか」などを判断します。
CWE-295に該当する不備があると、攻撃者が用意した不正な証明書をアプリが受け入れてしまう可能性があります。その場合、アプリは攻撃者のサーバーや中継環境を正規の通信相手だと誤認し、通信内容の盗聴や改ざんにつながるおそれがあります。
MITREはCWE-295の緩和策として、証明書を慎重に管理・検証することや、証明書ピンニングを使う場合にはホスト名を含む関連情報を十分に検証してから固定化することを挙げています。
CVSS v4.0で9.1とはどの程度深刻なのか
今回の脆弱性は、JVNでCVSS v4.0の基本値9.1とされています。CVSSは、脆弱性の深刻度を0.0から10.0の数値で表す評価方法です。NVDでは、CVSSスコアに応じてLow、Medium、High、Criticalといった深刻度区分が使われます。
▼ CVSSについてはこちらも
9.1という数値は、一般的には非常に高い深刻度を示します。ただし、CVSSはあくまで脆弱性そのものの性質を評価する指標であり、実際の被害発生可能性をそのまま示すものではありません。実際のリスクを判断する際は、利用環境や攻撃条件、修正版の適用状況などもあわせて考える必要があります。
今回のケースでは、攻撃には通信経路上に入り込む必要があると考えられます。たとえば、公共Wi-Fi、不審な無料Wi-Fi、攻撃者が用意した偽アクセスポイントなどを利用している場合には、リスクが高まりやすくなります。一方で、アプリを最新版に更新していれば、この脆弱性による影響は基本的に抑えられます。
想定される攻撃シナリオ
今回の脆弱性で想定されるのは、無線LANなどを悪用した中間者攻撃です。攻撃の流れは、次のように整理できます。
まず、攻撃者が偽のWi-Fiアクセスポイントや不正なネットワーク環境を用意します。次に、利用者が影響を受けるバージョンのアプリをインストールした端末で、そのネットワークに接続します。その状態でアプリのプッシュ通知関連通信が発生すると、攻撃者が通信経路に割り込む可能性があります。
本来であれば、アプリはサーバー証明書を確認し、不正な証明書であれば通信を拒否します。しかし証明書検証に不備がある場合、攻撃者が提示した不正な証明書を受け入れてしまう可能性があります。その結果、攻撃者は通信内容を盗み見たり、通知関連のデータを書き換えたりできるおそれがあります。
ただし、公開情報からは、どの通信先ホストやどのSDK、どの具体的なデータ項目が影響を受けるかまでは確認できません。そのため、現時点では「プッシュ通知に関する通信が影響を受ける」と整理するのが正確です。
利用者が取るべき対策
一般ユーザーが取るべき対策はシンプルです。まず、スマートフォンのアプリストアを開き、「くら寿司 公式アプリ」が最新版になっているか確認してください。バージョンが3.9.11未満の場合は、すぐに更新することが推奨されます。
また、更新が完了するまでは、不審なWi-Fiや提供元がわからない無料Wi-Fiの利用を避けることも大切です。特に、外出先で表示される無料Wi-Fiの中には、攻撃者が用意した偽のアクセスポイントが紛れている可能性があります。
利用者向けの確認ポイントは以下のとおりです。
| 確認項目 | 対応 |
|---|---|
| アプリのバージョン | 3.9.11以上に更新する |
| 自動更新 | App StoreまたはGoogle Playで自動更新を有効にする |
| 公共Wi-Fi | 不審なWi-Fiには接続しない |
| 通知内容 | 不自然な通知や誘導リンクに注意する |
| 端末管理 | OSや他のアプリも最新版に保つ |
今回の脆弱性は、利用者が難しい設定変更を行うよりも、アプリを最新版に更新することが最も重要です。アプリの更新は、脆弱性対策の中でも基本的で効果の高い対応です。
企業やアプリ開発者が学ぶべきポイント
今回の事例は、飲食店アプリに限らず、あらゆるスマートフォンアプリに共通する教訓があります。特に重要なのは、「暗号化しているから安全」とは限らないという点です。
TLS通信を使っていても、証明書検証が不十分であれば、攻撃者のなりすましを許してしまう可能性があります。つまり、通信を暗号化するだけでなく、通信相手が正しいかを厳格に確認する必要があります。
アプリ開発者や運用担当者は、次のような観点で点検することが重要です。
| 観点 | チェック内容 |
|---|---|
| 証明書チェーン | 信頼できる認証局から発行されているか |
| ホスト名検証 | 接続先のホスト名と証明書が一致しているか |
| 有効期限 | 期限切れ証明書を拒否しているか |
| 失効確認 | 失効した証明書を受け入れない設計か |
| 例外処理 | 検証エラーを安易に無視していないか |
| 証明書ピンニング | 導入時にホスト名なども含めて適切に検証しているか |
特にモバイルアプリでは、開発中や検証中に一時的に証明書検証を緩めたコードが、そのまま本番環境に残ってしまうことがあります。こうした実装は、リリース前のセキュリティレビューや自動テストで検出できるようにしておくことが重要です。
今回の脆弱性を過度に怖がる必要はあるのか
今回の脆弱性は、CVSSスコア上は非常に高い深刻度です。そのため、軽視すべきではありません。一方で、現時点の公開情報では、影響範囲はプッシュ通知関連通信とされています。
そのため、利用者が取るべき対応は「アプリを最新版に更新する」「不審なWi-Fiを避ける」「通知内容に不自然な点があれば注意する」という現実的な対策で十分です。必要以上にアカウント削除や過剰な不安につなげる必要はありません。
ただし、スマートフォンアプリは日常的に利用されるため、利用者が気づかないうちに通信が発生します。だからこそ、アプリの自動更新を有効にし、脆弱性修正を早めに適用できる状態にしておくことが大切です。
FAQ
Q1. くら寿司公式アプリは削除した方がよいですか？
基本的には、最新版に更新すれば削除までは不要です。影響を受けるバージョンを使っている場合は、3.9.11以上に更新してください。
Q2. 個人情報や決済情報が漏えいしたということですか？
公開情報では、個人情報や決済情報の漏えいが確認されたとは示されていません。影響として示されているのは、プッシュ通知に関する通信の盗聴・改ざんの可能性です。
Q3. 公共Wi-Fiを使うと危険ですか？
公共Wi-Fi自体がすべて危険というわけではありません。ただし、提供元が不明なWi-Fiや、なりすましの可能性があるWi-Fiでは、中間者攻撃のリスクが高まります。アプリを最新版に更新するまでは、不審なWi-Fiの利用を避けるのが安全です。
Q4. CWE-295とは何ですか？
CWE-295は、証明書検証が不適切な脆弱性を示す分類です。通信相手の正当性を十分に確認できないため、攻撃者が正規サーバーになりすますリスクがあります。
まとめ
くら寿司公式アプリに確認されたCVE-2026-41872は、プッシュ通知に関する通信で証明書検証が不適切になる脆弱性です。攻撃者が通信経路上に入り込める場合、通知関連通信を盗聴・改ざんされるおそれがあります。
利用者が取るべき最も重要な対策は、アプリを3.9.11以上に更新することです。あわせて、不審なWi-Fiの利用を避け、スマートフォン全体のアプリ更新を自動化しておくと安全性を高められます。
今回の事例は、スマートフォンアプリにおいて「暗号化」だけでなく「通信相手の正当性確認」が重要であることを示しています。企業や開発者にとっても、証明書検証、ホスト名検証、例外処理、リリース前テストを見直すきっかけになる脆弱性といえるでしょう。
コメント