Nintendo Switchに脆弱性、近くにいる攻撃者がQRコードを悪用して不正コードを実行可能

任天堂はシステムバージョン23.0.0をリリースし、CVE-2026-82079に対処しました。これはNintendo Switchのローカルワイヤレス通信機能に存在する脆弱性で、QRコード共有プロセスが攻撃経路になり得るというものです。

この問題はバージョン23.0.0より前のファームウェアを実行しているコンソールに影響し、近くにいる攻撃者が不正なコードを実行したり、デバイスに保存されたデータへアクセスしたりできてしまう可能性があります。

Datarecovery services

Nintendo Switch QRコード脆弱性

この脆弱性は悪意あるQRコードそのものが原因ではありません。むしろ、画面に表示されるコードは、攻撃を助長するローカルワイヤレスペアリングプロセスの一部となっています。

任天堂によると、この問題を悪用するには攻撃者がNintendo Switch本体、または接続されたテレビ画面上に表示されるQRコードを直接スキャンする必要があります。悪用され得る機能には、アルバムアプリの「スマートフォンに送る」オプションや、マリオカート ライブ ホームサーキットにおけるカートのペアリングが含まれます。

技術的なCVE記録によれば、根本原因はSwitchのローカルワイヤレス通信機能におけるスタックベースのバッファオーバーフローにあります。バッファオーバーフローは、割り当てられたメモリ容量を超える入力が行われることで発生し、制御データが上書きされる可能性があります。

無線通信の届く範囲内にいる攻撃者は、特別に細工したネットワークトラフィックを送信し、リターン指向プログラミング(ROP)を用いることで任意コード実行を達成できる可能性があります。CVSS v3.1の基本スコアは8.4、CVSS v4の基本スコアは7.0で、いずれも「重大(High)」に分類されています。

悪用に必要な近接性とやり取りの条件が、実際の被害範囲をある程度限定しています。攻撃者はローカルワイヤレス通信が可能な距離まで近づき、かつ一時的に表示されるQRコードを適切なタイミングで視認・スキャンできる必要があるためです。

公共の場所、共同住宅、イベント会場、外部ディスプレイでの画面共有といったシナリオは、広範なインターネット経由の攻撃と比べてリスクが高くなります。任天堂の警告によれば、第三者が表示中のQRコードを直接スキャンできない状況であれば、この攻撃は成立しません。

悪用に成功すると、コンソールのセキュリティ境界が侵害され、不正なコードの実行やローカルに保存されたデータの漏えいにつながる恐れがあります。現時点で公開されている技術情報では、実際の悪用や、マルウェアペイロード、組織的な攻撃キャンペーンの存在は確認されていません。

消費者は、すべてのQRコードスキャンがSwitchにリスクをもたらすという根拠のない主張は避けつつも、この脆弱性については優先度の高い修正対象として扱うべきです。

任天堂は、Nintendo Switchのユーザーに対し、「本体設定」から「本体」を選び、「本体更新」を選択してバージョン23.0.0をインストールするよう推奨しています。パッチが適用されるまでの間は、信頼できない相手とのQRコードによる共有・ペアリングを避け、コンソールやテレビに表示されるQRコードを他人の目に触れさせないようにし、信頼できるスマートフォンやアクセサリのみを使用することが推奨されます。

任天堂の発表では、Switch 2システムはこのシナリオによる情報漏えいの影響を受けないことも記載されています。ただし、標準的なセキュリティ対策の一環として、ユーザーは引き続き最新のファームウェアアップデートを適用すべきです。

SOCを常に最新の状態に保ち、活動中のマルウェアやフィッシングの脅威を発生から24時間以内に把握しましょう。 ANYRUNを試して、早期検知でインシデントを未然に防ぎましょう。