サイバーセキュリティ

楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題

楽天モバイル株式会社が提供する複数のスマートフォンで、Android Verified Boot機能にAOSPのテスト用鍵が使用されていることが、JVNで公表されました。対象はRakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIGsの全バージョンです。脆弱性はCVE-2026-107153として識別され、CVSS v4.0基本値は7.0、CVSS v3.0基本値は6.6と示されています。当該デバイスへの物理的アクセスにより、細工されたシステムイメージをインストールされる可能性があります。

最終確認日: 2026-10-14

この発表の要点

楽天モバイル製のRakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIGsの全バージョンでAVBにAOSPのテスト用鍵が使用されている
当該デバイスへの物理的アクセスにより、細工されたシステムイメージをインストールされる可能性がある（CVE-2026-107153）
開発者によると当該製品はサポートが終了しており、後続製品への乗り換えが案内されている

企業・自治体への影響

対象機種を業務で利用している企業の情報システム部門および総務部門（端末管理・貸与端末管理）に関係します。対象機種が社内で利用されている場合、端末の管理・更新計画に影響する可能性があります。原文には影響件数や被害事例は記載されておらず、現時点で取得できた本文からは確認できませんでした。

対応すべきこと

JVN（JVN#47427200）および各製品のサポート情報で、自社の利用機種・バージョンが対象に該当するか確認する
対象機種を利用している場合は、情報システム部門と総務部門で台数・利用部署・利用者を棚卸しする
サポート終了の案内を踏まえ、後続製品への乗り換えや利用停止の計画を立て、関係部門と共有する
物理的な持ち出し・放置のリスクを踏まえ、対象端末の管理ルールを見直す

対象部門： 情シス総務

対応期限：速やかに確認

基本データ

企業・団体	楽天モバイル株式会社
業界	通信
発表日	2026-10-14
分類	サイバーセキュリティ

発表された内容

公開日：2026/10/14 最終更新日：2026/10/14

JVN#47427200
楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題

楽天モバイル株式会社が提供する複数のスマートフォンでは、Android Verified Boot（AVB）機能にAOSPのテスト用鍵が使用されています。

Rakuten Mini すべてのバージョン
Rakuten Hand すべてのバージョン
Rakuten Hand 5G すべてのバージョン
Rakuten BIGs すべてのバージョン

楽天モバイル株式会社が提供する複数のスマートフォンでは、Android Verified Boot（AVB）機能にAOSPのテスト用鍵が使用されています。

脆弱な認証情報の使用（CWE-1391）

CVSS:4.0/AV:P/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 7.0
CVSS:3.0/AV:P/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 6.6
CVE-2026-107153

当該デバイスへの物理的アクセスにより、細工されたシステムイメージをインストールされる可能性があります。

現行製品の利用を停止し、後続製品に乗り換える
開発者によると、当該製品はすでにサポートが終了しているとのことです。後続製品への乗り換え等を検討してください。

ベンダ

リンク

楽天モバイル株式会社

Rakuten Miniサポート情報

Rakuten Handサポート情報

Rakuten Hand 5Gサポート情報

Rakuten BIG sサポート情報

Android-Device-Security.OrgAVBTestKeyInTheWild: Bypassing Android Verified Boot Using A Firmware Supply Chain Vulnerability on Locked Devices

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：松原正佳氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-107153

JVN iPedia

JVNDB-2026-000147

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN47427200/

時系列

2026-10-14　JVN（JVN#47427200）にて脆弱性情報が公開された
2026-10-14　JVN上で最終更新された

主な数値

対象機種（すべてのバージョン）	4機種
CVSS v4.0 基本値	7.0点
CVSS v3.0 基本値	6.6点

この事例から確認すべきポイント

本件は、端末の起動時に改ざんの有無を検証するAndroid Verified Boot機能で、公開されているテスト用鍵がそのまま使われているという設計・実装上の問題です。原文では、攻撃の前提は当該デバイスへの物理的アクセスとされ、細工されたシステムイメージをインストールされる可能性が示されています。開発者によると当該製品はすでにサポートが終了しているため、原文は後続製品への乗り換えを検討するよう求めています。実務上は、自社の業務端末や貸与端末に対象機種が含まれるかを確認し、利用状況を把握することが重要です。現時点で取得できた本文からは、影響範囲の詳細や利用者側の回避策は確認できませんでした。詳細は公式出典（JVN、各製品のサポート情報）をご確認ください。

公式出典

JVN（JPCERT/CC および IPA）

更新履歴

公開日: 2026-10-14 ／最終確認: 2026-10-14

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-14