人気のフェムテック機器に重大な脆弱性、専門家が指摘

消費者向けの健康・ウェルネス機器2製品に脆弱性が確認されました。人気の妊活支援デバイス「Mira Hormone Monitor」と、迷走神経刺激デバイス「Pulsetto Vagus Nerve Stimulator」です。前者の脆弱性は機微なデータの漏えいやデータ改ざんにつながる恐れがあり、後者の脆弱性はユーザーの安全性を脅かすリスクをはらんでいます。

Mira Hormone MonitorおよびMira Androidアプリ

Mira Hormone Monitorとそれに連携するAndroidアプリに複数の脆弱性が確認されました。これらの脆弱性が悪用されると、機微な健康データが露出したり、サービス拒否(DoS)状態が引き起こされたりするほか、権限のない第三者がユーザーアカウントを乗っ取ってデータを改ざんする恐れがあります。その結果、不妊治療の失敗や排卵時期の見逃し、望まない妊娠につながる可能性も指摘されています。

これらの脆弱性は、Northeastern University SPQR Labの研究チームによって発見されました。この研究は、米保健福祉省(HHS)傘下の先端研究プロジェクト庁ヘルス部門(ARPA-H)による「Universal Patching and Remediation for Autonomous Defense」プログラムの助成金の一部を財源としています。脆弱性は機器の製造元であるQuanovate Techに報告され、同社はすでに対応策を講じています。

研究チームは、フェムテック用ホルモン測定器「Mira Ultra 5」と、それに連携するAndroidアプリおよびクラウドインフラを対象に、エンドツーエンドのセキュリティ評価を実施しました。その結果、機器・アプリ・クラウドインフラにわたって20件の脆弱性が確認され、そのうち2件は重大(Critical)なものでした。最も深刻な脆弱性が悪用されると、攻撃者は生殖健康プロファイルへの読み書きアクセス権を取得し、健康情報の偽造・削除・破壊を行えるほか、クラウドアカウントを乗っ取ってホルモン記録の情報やアカウント設定にアクセスできてしまいます。

主な脆弱性

確認された脆弱性には、認証の不備または欠如、アナリティクスコードやSDKを通じたユーザーデータの第三者への送信、APIキーのハードコーディング、レート制限・IPスロットリングの欠如、そしてファームウェアが外部から誰でもアクセスできる状態になっている点などが含まれます。これらの脆弱性は、Mira Monitorファームウェア1.7.1.47およびMira Androidアプリ4.5.15.4に影響します。

研究チームは機器製造元およびCISAと連携し、Quanovateが2ラウンドの修正対応を完了した後に調査結果を事前共有しました。Quanovateはこれらの脆弱性を修正するアップデートを既にリリースしており、ユーザーは最新のファームウェア・アプリバージョン(iOS v3.5.18/Android v4.5.18)にアップグレードする必要があります。ファームウェアv01.07.01.53は、機器が接続された際にアプリ経由でアップデートされます。これらの脆弱性が実際に悪用された、または悪用が試みられた形跡は確認されていません。

Pulsetto Vagus Nerve Stimulator

迷走神経刺激デバイス「Pulsetto Vagus Nerve Stimulator」のファームウェアに、深刻度の高い脆弱性が確認されました。悪用に成功すると、攻撃者は電気的安全機構を無効化したり、その他の刺激出力設定を変更したりできる可能性があります。

この問題は、ファームウェアがBluetooth Low Energy(BLE)インターフェース経由で隠しコマンドを受け付けてしまうことに起因します。これらのコマンドは認可や暗号化なしに送信され、純正のモバイルアプリからは決して発行されないものですが、機器の電源が入っている間は常に処理されてしまいます。

この脆弱性はCVE-2026-18844として追跡されており、現行のすべてのバージョンに影響します。CVSS v3.1基本値は8.1、v4.0基本値は7.2と評価されています。この脆弱性は研究者でありセキュリティ著述家でもあるA.C. Buglione氏によって発見され、CISAに報告されました。CISAはこの脆弱性についてPulsetto社に連絡を取りましたが、返答は得られませんでした。そのためCISAは、問題の是正方法について直接Pulsetto社に問い合わせるようユーザーに勧告しています。