Samsungの9月アップデート、Galaxy端末の90件の脆弱性を修正

Samsungは9月の幕開けとともに、Galaxyユーザー向けに大規模なセキュリティ修正を実施します。

Samsungの2026年9月セキュリティ情報では、Google、Samsung Semiconductor、そしてSamsung独自の問題を合わせて90件の脆弱性に対する修正が挙げられています。ただしSamsungは、Galaxy固有の修正の一部はすでに過去のメンテナンスリリースで対応済みの可能性があると注記しています。Samsungによれば、今回のリリースは主要なフラッグシップモデル向けに提供されますが、提供時期は端末や地域によって異なります。

脆弱性の一部は深刻度が「重大(Critical)」に分類されており、リモートコード実行につながる可能性もあることから、今回のパッチはGalaxyユーザーやSamsung端末を管理する組織にとって重要なアップデートとなります。

9月アップデートでAndroidの重大な脆弱性に対応

今回の9月リリースには、GoogleのAndroidセキュリティ情報に基づく修正が組み込まれています。この情報では、Androidフレームワーク、システムコンポーネント、カーネルコンポーネント、およびハードウェア関連ソフトウェアに影響する脆弱性が取り上げられています。

Samsungは9月分のパッケージで、重大な脆弱性18件、深刻度「高(High)」のGoogle関連脆弱性40件を挙げています。最も深刻なAndroidの問題では、追加の実行権限やユーザー操作を必要とせずに、システムコンポーネントを通じたリモートコード実行が可能になる恐れがあります。

セキュリティパッチレベルが2026-09-05以降の端末では、Googleの9月分Androidセキュリティ情報でカバーされるすべての脆弱性に対応済みとなります。

今回のリリースは、先月の大規模な修正に続くものです。先月はSamsungが重大なAndroidの欠陥8件を含むGalaxyの脆弱性56件を修正していました。

Samsung、Galaxyの重大な画像デコーダーの欠陥を修正

Samsung独自の9月セキュリティ情報では、Samsung Vulnerabilities and Exposures(SVE)31件と、Samsung Semiconductorのソフトウェアに影響する深刻度「高」の脆弱性1件が挙げられています。Samsungは、情報に掲載されているSVE修正の一部はすでに過去のメンテナンスリリースに含まれていた可能性があると注記しています。

Samsung独自の脆弱性の中でも特に深刻な2件は、画像処理に関するものです。

CVE-2026-21095は、DNG画像のデコード処理に影響する重大なヒープベースのバッファオーバーフローで、CVE-2026-21096はJPEGデコードに関わる重大なヒープベースのバッファオーバーフローです。Samsungによれば、いずれの脆弱性もリモートの攻撃者による任意コード実行につながる可能性があります。

また同社は、ImsServiceのパストラバーサル脆弱性であるCVE-2026-21092も修正しました。これは、リモートの攻撃者がsystem-server権限で画像ファイルを作成できてしまう可能性がある脆弱性です。

その他の脆弱性は、GalaxyDiagnostics、SettingsProvider、SystemUI、PROCA、DualDARといったコンポーネントに影響します。DualDARに関する2件の脆弱性は、特定の条件下でローカルの特権を持つ攻撃者がroot権限で任意コードを実行できる可能性があるものです。

今回のGalaxy固有の修正は、Androidのセキュリティ対応がGoogleの月例パッチだけにとどまらないことを改めて示しています。Samsungは独自のアプリケーション、サービス、セキュリティコンポーネントを保有しており、それらはGoogleが対応する脆弱性とは別に問題を引き起こす可能性があります。

Samsungは先日、Smart Switchの脆弱性4件を修正しました。これらは機密情報を漏えいさせたり、近くにいる攻撃者が端末になりすましたりする可能性があるものでした。

Galaxyユーザーが取るべき対応

Samsungの月例セキュリティアップデートの提供時期は、Galaxyの機種や地域によって異なります。

利用可能なアップデートの確認は、以下の手順で行えます。

設定 → ソフトウェア更新 → ダウンロードとインストール

Galaxyユーザーは、自分の端末で9月分のセキュリティアップデートが提供され次第インストールし、端末がSamsungのサポート対象アップデート期間内であることも確認しておくべきです。

組織においては、モバイルデバイス管理(MDM)や統合エンドポイント管理(UEM)ツールを活用し、企業アカウントや機密データにアクセスするGalaxy端末のセキュリティパッチレベルを把握しておくことが求められます。

モバイル端末を狙う脅威は、OSの脆弱性以外の経路からも及んでいます。例えば、最近発見されたManic Androidマルウェアは、認証情報やその他の機密情報を窃取するだけでなく、近くにある侵害済みのスマートフォンを中継役として盗んだデータを転送する機能を持っています。

Samsungの9月セキュリティ情報では、今回取り上げられたSamsung固有の脆弱性が実際に悪用されているという記載はありません。とはいえ、AndroidおよびSamsung固有のセキュリティ上の欠陥に対応するため、組織はサポート対象のGalaxy端末を常に最新の状態に保っておくべきです。

あわせて読む: モバイルのセキュリティアップデートがなぜ重要なのか、その一例として Googleが既に実際に悪用されていたAndroidゼロデイ脆弱性を修正した事例もご覧ください。