2026年10月14日、JVN（脆弱性情報データベース）が、楽天モバイルの複数のスマートフォンの脆弱性を公表しました。
対象は、Rakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIG s。いずれも全バージョンです。
先にお断りします。筆者は楽天グループの従業員です。ただ、この記事は、JVNの公表、楽天モバイルの公式サポートページ、ケータイ Watchの報道だけに基づいています。社内の情報は、一切使っていません。個人の見解です。
結論
- 起動時にソフトの正しさを確かめる仕組み（Android Verified Boot）の鍵に、**誰でも手に入る「テスト用の鍵」**が、そのまま使われていた
- 悪用の条件は、端末に物理的に触れること。遠隔から攻撃できる、という記載は確認できなかった
- 対象製品は、すでにサポート終了。修正版を出す予定は書かれていない
- 公式の案内は、「使用を続けず、他の製品を使うことを推奨」
つまり、「今すぐ誰かに遠隔で乗っ取られる」という話ではありません。一方で、修正されないまま使い続けるのは、お勧めされていません。
公表されている内容
出典は、JVN#47427200（2026年10月14日公表）と、楽天モバイルの各機種のサポートページです。
問題の中身
- 端末の起動時に、ソフトが改ざんされていないかを確認する仕組みがある
- その確認に使う鍵が、Android開発元（AOSP）が配っているテスト用の鍵のままだった
- 鍵が公開されているため、改ざんされたソフトが、正規品として扱われるおそれがある
どんな影響があり得るか
- 端末を一時的に操作できる攻撃者が、改ざんしたソフトを入れられる
- その結果、端末の権限の取得、不正なプログラムの実行、設定の変更が起こり得る
評価（JVN）
- CVE番号：CVE-2026-107153
- CVSS v4.0：7.0
- CVSS v3.0：6.6
- 攻撃に必要な条件は、ベクタの表記上、物理的なアクセス
対象機種
- Rakuten Mini
- Rakuten Hand
- Rakuten Hand 5G
- Rakuten BIG s
楽天モバイルの案内
Rakuten Miniのサポートページには、次のことが書かれています。
- 脆弱性が判明したのは、2026年9月28日時点
- 対象製品の使用は続けず、他の製品を使うことを推奨する
- 理由は、サポートが2023年11月28日に終了しているため
- 修理の受付も、同日で終了している
- 脆弱性専用の問い合わせ窓口は、確認できなかった（製品全般のコミュニケーションセンターへのリンクのみ）
他の3機種も、JVNには「サポート終了」と書かれています。ただし、終了日は、私が確認できた範囲では、Rakuten Miniの分しか見つかっていません。
書かれていないこと
ここが、持っている人が気になるところだと思います。
- 補償、下取り、買い替えの優遇の有無
- 修正版の提供予定（出さない方針、と読めるが、明記はされていない）
- 利用をやめるまでの暫定的な対策
- 遠隔から攻撃できるかどうか（物理アクセスが条件、という記載のみ）
- 実際に悪用された事例があるか
- Rakuten Hand、Hand 5G、BIG sのサポート終了日
なお、ケータイ Watchの記事の時点では、楽天モバイルの「お知らせ」ページに、この件の独立したお知らせは、確認できませんでした。各機種のサポートページに案内がある、という形です。
持っている人の、一般的な備え
以下は、一般的な注意点です。公式の手順ではありません。
悪用の条件が「端末に物理的に触れること」なので、考えるべきは、端末が他人の手に渡る場面です。
- 紛失・盗難が、いちばん危ない。画面ロックを必ず設定し、端末を人に預けない
- 銀行アプリ、決済アプリ、仕事のデータなど、大事なものを入れて使い続けない。サブ機や、通話・メモ専用にとどめる
- 買い替えを考える。サポート終了の端末は、OSやアプリの更新も受けにくくなる
- 手放すときは初期化する。中古で売る・譲るときは、データを消してから。端末の扱いは、販売先の案内に従う
- 人から譲られた端末や、中古で買った端末は、サポート期間が残っているかを、買う前に確認する
ここでの「乗り換え」は、端末の買い替えです。携帯会社の乗り換えではありません。
端末をなくしたときの対応は、紛失したときの最初の手順に、機種変更の準備は、機種変更のチェックリストにまとめています。窓口は、問い合わせ先の記事です。
同じ週に、別の公表もあった
2026年10月13日には、「my 楽天モバイル」の支払い証明書が第三者に見られる可能性があった、という別の公表がありました。今回の端末の件とは、別の話です。混同しないでください。詳しくは、別の記事に書いています。
まとめ
- Rakuten Mini、Hand、Hand 5G、BIG sの全バージョンで、起動時検証に既知のテスト鍵が使われていた（JVN#47427200、2026年10月14日公表）
- 悪用には、端末に物理的に触れることが必要。遠隔攻撃の記載は確認できなかった
- 対象製品はサポート終了済みで、修正版の予定は書かれていない。公式は、使用を続けず他の製品への乗り換えを推奨
- 補償、下取り、暫定対策、サポート終了日（Mini以外）は、確認できた範囲では書かれていない
- 持っている人は、紛失・盗難に備えた画面ロック、重要なアプリを入れないこと、買い替えの検討を
内容は更新されることがあります。最新の情報は、JVNと楽天モバイルの各機種のサポートページで確認してください。この記事の内容は、2026年10月15日時点です。
出典：
- JVN#47427200「楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題」（2026年10月14日） https://jvn.jp/jp/JVN47427200/index.html
- 楽天モバイル Rakuten Mini サポート情報 https://network.mobile.rakuten.co.jp/product/smartphone/rakuten-mini/support/index.html
- ケータイ Watch「楽天モバイル「Rakuten Mini」「Rakuten Hand」などに脆弱性、AVB機能にテスト鍵が残存 利用停止と乗り換えを案内」（2026年10月14日） https://k-tai.watch.impress.co.jp/docs/news/2148168.html
本記事にはアフィリエイト広告を含みます。当サイトのリンクを経由して商品・サービスへお申し込みいただいた場合、提携先企業から成果報酬を受け取ることがあります。 また、運営者は楽天グループに所属する社員であり、紹介プログラムを通じた報酬を受け取る場合があります。記事内容・評価は広告の有無にかかわらず、運営者の実体験と調査に基づき作成していますが、 上記の関係性をご理解のうえお読みください。詳しくは免責事項・アフィリエイト表記をご覧ください。
楽天モバイルの通信エリア・電波状況について気になることがある方は、公式の電波改善・調査依頼フォームからご相談いただけます。
