Samsung、2026年11月のセキュリティアップデートを公開　重大な脆弱性を修正

お使いのSamsung Galaxyスマートフォンには、重要なセキュリティ修正が適用されていない可能性があります。未適用の場合、攻撃者に悪意のあるコードを実行されたり、機密情報にアクセスされたり、不正な操作を行われたりするおそれがある脆弱性が残ったままになります。

Samsungは11月3日、2026年11月のセキュリティ情報を公開しました。Android、Galaxy固有のソフトウェア、デバイスコンポーネントに影響を与える脆弱性の修正内容を示しています。今回のアップデートには、Androidの重大なセキュリティ脆弱性に加え、ブートローダー、カメラソフトウェア、メッセージ、連絡先に影響を与えるSamsung固有の脆弱性も含まれています。

Galaxyユーザーにとって、まず気になるのは自分のスマートフォンに最新の保護が届いているかどうかでしょう。Samsung製デバイスを管理する企業にとっては、懸念がさらに広がります。パッチが未適用の端末から機密情報が漏えいしたり、社内システムへの新たな侵入口になったりする可能性があるためです。

SamsungのAndroidおよびGalaxy向け11月アップデートで脆弱性を修正

Samsungの 11月の公式セキュリティ情報では、Samsung固有のセキュリティ項目24件と、重要度「高」の半導体関連の脆弱性4件が示されています。あわせて、Googleの11月のAndroidセキュリティ情報に含まれるパッチも適用されます。

Samsungは、11月の定期リリースで対処するGoogleの脆弱性、以前のアップデートで修正済みの問題、Samsung製デバイスには該当しない脆弱性を区別して扱っています。この区別は重要です。脆弱性の公表件数は、研究者やニュースメディアによる数え方の違いで変わるためです。

以前のアップデートで修正済みの脆弱性を含めて集計する報道もあれば、Android、Samsungのソフトウェア、ハードウェアコンポーネントの問題を別々に数える報道もあります。

したがって、1つの合計値を「すべてのGalaxy端末に影響する、新たに悪用可能な脆弱性の数」と受け取るべきではありません。

実際の影響範囲は、端末のモデル、Androidのバージョン、ハードウェアコンポーネント、過去に適用したセキュリティアップデートによって異なります。

とはいえ、11月のセキュリティ情報には、GalaxyユーザーとIT管理者が把握しておくべき深刻な脆弱性がいくつも含まれています。

Androidの重大な脆弱性、リモートコード実行の恐れ

最も懸念される問題の1つは、AndroidのFrameworkコンポーネントに関するものです。

Googleの 2026年11月Androidセキュリティ情報は、追加の実行権限やユーザー操作がなくてもリモートコード実行が可能になる重大な脆弱性を挙げています。

リモートコード実行が可能になると、攻撃者は脆弱な端末上で悪意のある命令を実行できる可能性があります。その影響は、対象となるコンポーネント、攻撃者の能力、導入されている保護機能によって変わります。

Googleによると、この深刻度評価は、プラットフォームやサービスの一部の保護機能が無効化されているか、突破されていることを前提としています。また、情報では、この脆弱性が実際に攻撃で悪用されているとは確認されていません。それでも、リモートから悪用される可能性があるため、この問題はとりわけ重要です。

端末への物理的なアクセスが必要な攻撃とは異なり、リモートの脆弱性の中には、所有者が悪意のあるコンテンツを直接操作しなくても悪用されるものがあります。

Galaxyユーザーは、端末が正常に動作しているように見えても、利用可能なアップデートを速やかにインストールすべきです。

注意すべきSamsung固有の脆弱性は？

Samsungの11月のセキュリティ情報では、Galaxy端末に搭載されているコンポーネントやアプリケーションに影響する脆弱性も挙げられています。

不適切な認可やアクセス制御に関わるものがあります。メモリ処理に関する問題もあり、攻撃者にコードを実行される可能性があります。

主な脆弱性は次のとおりです。

重要度「高」の3件の脆弱性は、メモリ処理または入力検証の問題に関するものです。重要度「中」のSamsungメッセージの脆弱性は、不適切な認可に関するものです。

悪用に必要な条件にも注意が必要です。たとえば、ブートローダーの脆弱性を悪用するには、攻撃者が端末に物理的にアクセスする必要があります。カメラライブラリの脆弱性では、攻撃者のローカルアクセスとユーザー操作が必要です。いずれも、あらゆるGalaxyスマートフォンをリモートから侵害できる攻撃が確認されたという意味ではありません。

Samsungはこのほか、ローカルの攻撃者が必要な権限なしに通話を開始できる、連絡先関連の脆弱性も説明しています。これらは重要度「中」の問題で、一部の連絡先ウィジェットとアプリケーションコンポーネントに影響します。Samsungは、未使用のコードを削除するかアクセス制御を強化して対処しました。

ユーザーにとってこれらの事例は、メッセージ、通話、メディア処理といった日常的なスマートフォンの機能にも脆弱性が及びうることを示しています。ただし、Samsungのセキュリティ情報は、これらの脆弱性が実際に悪用されているとは確認していません。

Samsungは、独立した研究を通じて端末のセキュリティが精査される場面もありました。10月のPwn2Own大会では、研究者らが Galaxy S26への攻撃を複数回成功させました。

これらの結果は11月のセキュリティ情報とは別ですが、比較的新しいスマートフォンであっても、継続的なセキュリティテストとアップデートが欠かせないことを示しています。

11月のアップデートが必要なGalaxyはどの機種か

すべてのGalaxyスマートフォンがすべての脆弱性の影響を受けるわけではなく、セキュリティアップデートの提供時期もモデルによって異なります。

Samsungは脆弱性ごとに影響を受けるAndroidのバージョンを示しています。11月の修正のいくつかは、Android 14、15、16、17を搭載したソフトウェアに適用されます。

ただし、これらのAndroidバージョンを使うすべての端末に、影響を受けるコンポーネントがすべて含まれているわけではありません。特定の脆弱性が該当するかどうかは、端末のハードウェア、メーカー製ソフトウェア、過去に適用したパッチによっても決まります。Samsungは、端末の対象可否と地域ごとの提供状況に応じてセキュリティアップデートを配信しています。

同社は、アップデートの配信がモデルや地域によって異なる可能性があると注意を促しています。チップセットベンダーのパッチの一部は、月次の初回リリースではなく、後続のアップデートパッケージで届くこともあります。このため、2人のGalaxyユーザーが11月のセキュリティ修正を受け取る時期が異なる場合があります。

Samsungの セキュリティアップデートの対象範囲では、月次、四半期ごと、その他の間隔でセキュリティアップデートが予定されている端末を確認できます。

古いスマートフォンを使っている場合は、こうしたスケジュールにとくに注意してください。

eSecurity Planetが以前報じたとおり、 Galaxyのセキュリティサポートの変更により、古いモデルではパッチの提供が減ったり、最終的に定期的なセキュリティ保護の対象外になったりする可能性があります。

Galaxyスマートフォンで銀行アプリや会社のメール、機微な個人情報にアクセスしているなら、端末を買い替えるかどうかを考える際に、継続的なセキュリティサポートの有無も判断材料にすべきです。

Galaxyが最新のセキュリティ修正を受け取ったか確認する方法

Galaxyユーザーは、11月のパッチが自動的に適用されたと思い込まず、利用可能なソフトウェアアップデートを確認してください。

手順は次のとおりです。

1. 設定を開く。 ソフトウェア更新に移動します。
2. アップデートを確認する。 ダウンロードおよびインストールを選択し、利用可能なソフトウェアアップデートを検索します。
3. 利用可能なパッチをインストールする。 画面の指示に従い、必要に応じて端末を再起動します。
4. セキュリティパッチレベルを確認する。 設定を開き、端末情報、ソフトウェア情報の順に選択して、Androidセキュリティパッチレベルを確認します。
5. サポート期間を確認する。 アップデートが表示されない場合は、そのモデルが月次または四半期ごとのセキュリティアップデートの対象かどうかを確認します。

Googleは2026年11月について、2種類のAndroidセキュリティパッチレベルを公開しています。この点も理解しておく必要があります。

2026年11月1日： このパッチレベルを示す端末は、11月1日のパッチレベルおよび過去のAndroidセキュリティ情報に関連する脆弱性に対処している必要があります。

2026年11月5日： このパッチレベルを示す端末は、11月の両パッチレベルおよび過去のAndroidセキュリティ情報に関連する、該当するすべての脆弱性に対処している必要があります。

Googleは、Androidセキュリティパッチレベルが2026年11月5日以降であれば、11月のAndroidセキュリティ情報に記載された該当する問題すべてに対処済みだと説明しています。ただし、この日付だけでは、Samsung固有の脆弱性やチップセットベンダーの脆弱性がすべて修正されたとは限りません。

Samsungは、11月のセキュリティ保守リリースをSMR Nov-2026 Release 1としています。この名称は保守リリースとそれに関連するセキュリティ修正を示すもので、サポート対象のすべてのGalaxyスマートフォンにすでにパッケージが届いているという意味ではありません。

Samsungは、アップデートの提供状況がモデルや地域によって異なると説明しています。端末固有のチップセットパッチの一部は、後続のパッケージで配信される可能性があるとも警告しています。サポート対象の端末では、Samsungのセキュリティ指標をセキュリティソフトウェアバージョンで確認できます。

最新の修正を受け取ったかどうかを判断するには、Androidセキュリティパッチレベルと、該当するSamsungのアップデート情報の両方を確認してください。

11月のアップデートがまだ届いていない場合は、地域ごとの順次配信を待っているか、別のアップデートスケジュールに従っている可能性があります。一方、セキュリティサポートが終了した端末を機微な用途で使い続けると、避けられるはずのリスクを抱えることになりかねません。

Samsung端末を使う企業が今すべきこと

組織にとってモバイルのセキュリティアップデートは、従業員のスマートフォンを最新の状態に保つだけの問題ではありません。

スマートフォンからは、社内メール、クラウドアプリケーション、社内文書、認証サービス、業務連絡にアクセスできることが多いためです。

攻撃者が端末を侵害すれば、その端末からアクセスできるシステムや情報にまで被害が及ぶ可能性があります。

ITおよびセキュリティチームは、次の対応を優先してください。

• 業務で使うSamsung端末を把握する。 会社支給のスマートフォンと、社内システムへのアクセスを許可している私物端末を確認する
• パッチの適用状況を確認する。 モバイルデバイス管理（MDM）ツールで、古いセキュリティパッチのままの端末を特定する
• 機微なアカウントを優先する。 管理者、経営幹部、機密情報にアクセスできる従業員の端末にはとくに注意を払う
• サポート対象かどうかを見直す。 セキュリティアップデートが引き続き提供されるモデルと、交換が必要になりそうなモデルを見極める
• 適切なアクセスポリシーを適用する。 組織が承認したセキュリティ基準を下回る端末からの機微な社内リソースへのアクセスを制限することも検討する

管理者は、予定されたアップデートの配信を待っている端末と、すでにサポートが終了した端末も区別する必要があります。四半期ごとの更新スケジュールの端末は、月次で更新される端末よりパッチの日付が古くても問題ない場合があります。

組織は、この違いを端末のリスクプロファイルや、端末からアクセスできる情報の機微性とあわせて評価すべきです。

また、脆弱性はAndroid本体だけでなく、メーカー製のアプリケーションや関連ソフトウェアにも存在しうる点を、セキュリティチームは忘れないでください。

eSecurity Planetは今年前半、機密情報が漏えいするおそれのある Samsung Smart Switchの4件の脆弱性を報じました。セキュリティリスクを評価する際は、モバイルのソフトウェア環境全体を考慮する必要があることを改めて示しています。

11月のアップデートを入れればリスクはなくなるのか

該当する最新のセキュリティアップデートを適用すれば、そのリリースで対処された脆弱性へのリスクは減ります。しかし、あらゆるセキュリティ上の脅威を排除できるわけではありません。攻撃者は、フィッシング、悪意のあるアプリケーション、窃取した認証情報、ソーシャルエンジニアリング、未発見の脆弱性を使って、ユーザーを狙い続けます。

Galaxyユーザーは、強力な画面ロックの使用、アプリケーションの更新、アプリの権限の確認、信頼できない提供元からのダウンロードの回避を、引き続き徹底してください。

企業は、パッチ管理に加えて、モバイルのアクセス制御、デバイスの監視、紛失・侵害・サポート終了した端末の扱いに関するポリシーを組み合わせるべきです。

Galaxyユーザーが今後注意すべき点

Samsungの2026年11月のセキュリティ情報は、同社が対処しているセキュリティ上の問題を示しています。ただし、修正がいつ届くかは、引き続き個々の端末や配信スケジュールに左右されます。

Galaxyユーザーがまず行うべきは、インストール済みのセキュリティパッチレベルを確認し、利用可能な最新のアップデートを適用することです。

企業は、パッチが未適用の端末を洗い出し、その遅れが想定内かどうかを見極め、サポートが終了したハードウェアを交換する必要があるかを判断することが次のステップになります。

要点は明快です。公開されたセキュリティ修正は、脆弱な端末に届くまで、ほとんど保護の役目を果たしません。今日アップデートを確認するという簡単な行動が、明日のはるかに厄介なセキュリティ問題を防ぐかもしれません。

関連記事：Googleの最新のAndroidセキュリティ修正について詳しくは、スマートフォンに影響するリモートコード実行の重大な脆弱性を含む、 11月に修正された216件のAndroid脆弱性に関するeSecurity Planetの記事をご覧ください。