ニュース

Androidに四半期に一度の大規模セキュリティ更新 ～180件を修正、「Critical」は32件

もっとも深刻なのは「System」のリモートコード実行。悪用の兆候は今のところなし

2026年9月9日 13:05

2026年9月のAndroidセキュリティ情報が公開

　米Googleは9月8日（現地時間）、Android OSのセキュリティ情報（Android Security Bulletin：ASB）を発表した。今月は四半期に一度（3月、6月、9月、12月）の大規模アップデートにあたり、180件の脆弱性が修正されている。深刻度が4段階中最高の「Critical」は32件、2番目の「High」は148件。

　なかでももっとも深刻な問題は、「System」コンポーネントに存在するリモートコード実行（RCE）の脆弱性。追加の実行権限は不要で、ユーザーの操作がなくても悪用が可能とされている。

　Android OSのセキュリティ更新プログラムは、リリース月（2026-09）ごとに「01」と「05」という2つのセキュリティレベルに分けられている。

　「01」は対応に時間のかかるカーネルコンポーネントや特定ベンダー向けの一部修正を省いたサブセット。修正範囲に制限を設け、迅速にユーザーへアップデートを提供できるように配慮されている。「05」はそれ以外の問題にも対処した、いわば完全版だ。すべての問題に対処するには、セキュリティパッチレベルが「2026-09-05」以降である必要がある。

セキュリティ更新プログラムレベル「2026-09-01」

　「2026-09-01」で修正されたのは95件。「Critical」は26件で、いずれも「System」と「Framework」に集中している。

  • System：56件（うち「Critical」23件）
  • Framework：37件（うち「Critical」3件）
  • Android runtime：1件
  • Setup Wizard：1件

　このうち20件は、「Google Play」システムのアップデート（Project Mainline）経由でも配信される。Android 10以降の対応デバイスでは、セキュリティ更新プログラムに加えて「Google Play」システムアップデートも受け取れる。

セキュリティ更新プログラムレベル「2026-09-05」

　「2026-09-05」では、「2026-09-01」の修正に加えて85件に対処する。ハードウェアベンダー由来のコンポーネントが大半を占める。

  • Imagination Technologies：25件
  • MediaTek components：21件
  • Qualcomm closed-source components：11件（うち「Critical」1件）
  • Unisoc components：7件
  • Arm components：6件
  • Kernel：5件（うち「Critical」4件）
  • Qualcomm components：5件
  • TV：3件
  • Kernel components：1件（「Critical」）
  • Tsingteng Micro：1件

　修正が反映されるAOSPのバージョンは、Android 14/15/16/16-QPR2/17。パッチは公開から48時間以内にAOSPリポジトリへ反映される予定で、その後、本セキュリティ情報にAOSPへのリンクが追記される。

　なお、同社はセキュリティ情報の公開より1カ月以上前に、Androidのパートナー企業へすべての問題を通知しているという。メーカーからパッチが提供され次第、速やかに適用したい。