Samsung Smart Switchに4件の脆弱性、機密データが危険にさらされる恐れ バージョンを確認しよう

Samsungは、Android向けSmart Switchアプリに存在する4件の脆弱性を修正しました。これらの脆弱性は機密データを外部に露出させたり、近接する攻撃者がデバイスになりすましたりすることを可能にする恐れがあったものです。

Samsungの8月のセキュリティ情報によると、これらの脆弱性はAndroid版Samsung Smart Switchのバージョン3.7.72.6より前のものに影響します。このうち3件は機密データを露出させたりアクセスを許したりする可能性があり、残る1件はデバイスの識別情報を偽装される恐れがあるというものです。

これが重要な理由は、Smart Switchがユーザーが新しいGalaxyデバイスに移行する際、連絡先、メッセージ、写真、動画、書類、アカウント情報、デバイス設定など、幅広い個人データを扱うためです。

最新版で修正されたSmart Switchの4件の脆弱性

深刻度「高」とされた2件のうちの1件、CVE-2026-21079は、Smart Switchが送信する機密データが暗号化されていないことに起因します。

Samsungによると、この脆弱性はバージョン3.7.72.6より前において、近接する攻撃者が送信中の情報を傍受できる可能性があるというものです。同社は、今回のパッチで適切な暗号化ロジックを追加したとしています。

National Vulnerability Database（NVD）はこの脆弱性にCVSS 3.1で6.5（中程度）のスコアを付けている一方、SamsungによるCVSS 4.0の評価では7.0（高）とされています。

2件目の深刻度「高」の脆弱性、CVE-2026-21080は、Smart Switchが機密情報を平文（クリアテキスト）のまま保存してしまうというものです。Samsungによれば、近接する攻撃者がその情報にアクセスできる可能性があるとのことです。今回のアップデートにより、この露出は解消されます。

残る2件の脆弱性は、深刻度「中程度」に分類されています。

CVE-2026-21078は、Smart Switchのトラブルスキャンモードにおける検証不足に関するもので、近接する攻撃者がデバイスの識別情報を偽装できる可能性があります。CVE-2026-21083は不適切な入力検証に関するもので、Samsungによると近接する攻撃者が機密データにアクセスできる恐れがあるとしています。

Samsungは、これら4件すべての脆弱性の報告について、研究者のRene Denifl氏とFlorian Draschbacher氏の功績を認めています。

今回のSmart Switchの修正は、Samsungによるより広範なセキュリティ対応の一環として行われています。今月初め、Samsungの8月分のGalaxyアップデートでは、対象となるGalaxyデバイス全体で56件の脆弱性が修正されており、そのうち8件のAndroid関連の脆弱性は「重大（クリティカル）」と評価されていました。

Smart Switchで機密データがとりわけ重要な理由

Smart Switchはデバイス間でのデータ移行を目的として設計されているため、暗号化、認証、情報露出に関する脆弱性は特に注目に値します。

Samsungのサポート資料によると、このアプリはワイヤレス接続やUSBケーブル、外部ストレージを通じて、AndroidおよびiOSデバイスからGalaxyのスマートフォンやタブレットへコンテンツを転送できます。

関係するデバイスによっては、転送される情報には連絡先、通話履歴、メッセージ、写真、動画、書類、設定、アカウントデータなどが含まれる場合があります。

これらの脆弱性は、インターネット全体に及ぶリモート脆弱性としては説明されていません。Samsungは4件すべての攻撃ベクトルを「近接」に分類しており、これは攻撃者がオンライン上のどこからでも脆弱なデバイスに単純にアクセスできるというものではなく、近接するネットワークや接続環境を通じたアクセスを必要とすることを意味します。

CVE-2026-21079に関するNVDのエントリーでは、CISAによる評価も引用されており、2026年8月10日時点で悪用は「なし」とされています。ただし、この評価はCVE-2026-21079に固有のものであり、Smart Switchの4件の脆弱性すべてに対する悪用評価と解釈すべきではありません。

とはいえ、モバイルデバイスは依然として機密情報の窃取を狙った攻撃の標的となり続けています。eSecurity Planetは最近、パスワードやワンタイムコードなどの情報を盗み出し、近くにある侵害済みの別のスマートフォンへ盗んだデータを中継できるManic Androidマルウェアについて報じています。

今年これまでにもSmart Switchで深刻な脆弱性

今回の修正は、2026年におけるSamsungのAndroid版Smart Switchに対する初めてのセキュリティパッチではありません。

Samsungの3月のセキュリティ情報では、バージョン3.7.69.15より前に影響する一連のSmart Switchの脆弱性が公表されていました。Samsungによると、1件の重大な認証上の弱点に紐づく5件のCVEにより、リモートの攻撃者が任意のアプリケーションをインストールできる可能性があったとのことです。

また、別の深刻度「高」の脆弱性はパストラバーサルに関するもので、近接する攻撃者がSmart Switchの権限を利用して任意のファイルを上書きできる可能性がありました。さらにSamsungは、近接する攻撃者にサービス拒否（DoS）状態を引き起こされる恐れのあった認証関連の脆弱性も修正しています。

こうした修正が繰り返されていることは、Galaxy本体のOSが完全にパッチ適用されている場合でも、アプリ自体のアップデートが重要である理由を物語っています。

同様の課題は、他のスマートフォンメーカーも抱えています。Appleは最近、悪意のあるコードの実行などセキュリティ上の問題につながりかねない重大なiPhoneのセキュリティ上の欠陥に対処するアップデートをリリースしました。

Samsungユーザーが今すぐ取るべき対応

Samsung Smart Switchを利用しているAndroidユーザーは、アプリがバージョン3.7.72.6以降であることを確認してください。Samsungは、今回の4件の脆弱性すべてについて、修正済みのAndroidアプリバージョンとして3.7.72.6を挙げています。

Galaxyユーザーは、Galaxy StoreまたはGoogle PlayからSmart Switchのアップデートを確認できます。Galaxyスマートフォンを管理する組織においても、OSのアップデートによってSamsung製アプリすべてにパッチが適用されたと思い込むのではなく、業務用デバイスのアプリバージョンをきちんと確認すべきです。

Samsungの8月のアドバイザリでは、今回の4件のSmart Switchの脆弱性が実際に悪用されているとは述べられていません。

攻撃に必要な条件を考えると、リモートから悪用可能な脆弱性と比べて当面の警戒レベルは低いといえます。しかし、Smart Switchが扱うデータの性質を踏まえれば、アップデートを行う価値は十分にあります。あるアプリがユーザーの連絡先、メッセージ、写真、アカウント、設定を一台のスマートフォンから別のスマートフォンへ運ぶことを託されているのであれば、その転送経路にきちんとパッチを当てておくことも、機種変更の作業の一部と考えるべきでしょう。

あわせて読みたい: Samsung Galaxyユーザーは、これまでにもより深刻なモバイル脅威に直面しています。その一例が、ゼロデイ脆弱性を悪用してGalaxyデバイスを標的にした LANDFALLスパイウェアキャンペーンです。