Androidゼロデイ脆弱性、デバイス乗っ取り攻撃に悪用

Googleは、標的型攻撃において積極的に悪用されているとされる重大なAndroidゼロデイ脆弱性を公表しました。大規模なデバイス侵害のリスクについて、深刻な懸念が高まっています。

CVE-2025-48595として追跡されているこの問題は、6月1日に公開された2026年6月度のAndroidセキュリティ情報で取り上げられました。

Androidゼロデイ脆弱性

Googleによると、この脆弱性はAndroid Frameworkコンポーネントに存在します。ユーザーの操作なしにリモートで権限昇格を可能にするため、深刻度は「重大（Critical）」に分類されています。つまり攻撃者は、被害者がリンクをクリックしたり悪意のあるアプリをインストールしたりといった一切の操作を必要とせず、影響を受けるデバイスを密かに制御できます。

セキュリティ研究者は、このような脆弱性はゼロクリック攻撃に悪用できるため特に危険であり、スパイ活動や標的型監視作戦でよく使われると警告しています。Googleは、CVE-2025-48595が実環境において「限定的・標的型」に悪用されている兆候があることを認めており、パッチが広く普及する前から脅威アクターによる悪用がすでに始まっている可能性を示唆しています。

この脆弱性によって攻撃者はリモートで権限を昇格させ、機密データやシステムレベルの制御機能へのアクセス、そして持続的なデバイス侵害が可能になります。実際の攻撃シナリオでは、データの外部持ち出し、スパイウェアの展開、デバイスの完全乗っ取りといった行為が実行される恐れがあります。

Googleは、2026年6月のセキュリティパッチレベル（2026-06-05以降）が適用されたデバイスでこの問題に対処しました。同社は、Androidパートナーに対して公開の少なくとも1か月前に脆弱性を通知しており、OEMメーカーがパッチを準備・配布するための時間を確保したとしています。

パッチ対応に加え、GoogleはAndroidの多層セキュリティモデルが悪用リスクの軽減に貢献していることを強調しました。サンドボックス機能、エクスプロイト緩和技術、Google Play Protectによる継続的な監視といった保護機能が、ユーザー防御において重要な役割を果たしています。

Google Mobile Servicesを搭載したデバイスでデフォルト有効となっているPlay Protectは、特にサードパーティのソースからインストールされたものを含む、潜在的に有害なアプリケーションを検出してユーザーに警告することができます。

しかし、パッチ未適用のデバイスやサポートが終了したデバイスでは、依然として悪用リスクが高い状態が続いています。特に古いAndroidバージョンは最新のセキュリティ強化機能が不足している場合があり、このような高度な攻撃に対してより脆弱になっています。

Androidセキュリティチームはまた、この脆弱性のソースコードパッチをセキュリティ情報の公開から48時間以内にAndroid Open Source Project（AOSP）リポジトリへ公開すると確認しており、エコシステム全体における透明性の向上と修正対応の促進を図っています。

セキュリティ専門家は、ユーザーに対してデバイスのセキュリティパッチレベルを早急に確認し、アップデートが公開され次第すぐに適用するよう強く推奨しています。組織に対しても、モバイルエンドポイントの異常な動作を監視してパッチ適用の遵守を徹底するとともに、アプリのサイドローディングを制限してリスクへの露出を減らすよう勧告しています。

CVE-2025-48595の出現は、モバイルにおけるゼロデイ攻撃の継続的なトレンドを浮き彫りにしています。攻撃者はオペレーティングシステムのコアコンポーネントをますます標的とし、ステルス性の高い持続的なアクセスの確立を狙っています。