- 01结论
- 02已公布的内容
- 03Rakuten Mobile的提示
- 04未写明的内容
- 05机主一般性的防范措施
- 06同一周，还有另一项公布
- 07总结
2026年10月14日，JVN（漏洞信息数据库）公布了Rakuten Mobile多款智能手机的漏洞。
涉及的是Rakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIG s。均为所有版本。
先说明一下。笔者是乐天集团的员工。不过，本文仅基于JVN的公布、Rakuten Mobile的官方支持页面以及Keitai Watch（ケータイ Watch）的报道，完全没有使用公司内部的信息。以下为个人观点。
结论
- 用于在启动时确认软件是否正确的机制（Android Verified Boot）的密钥，直接使用了谁都能获取的“测试用密钥”
- 被利用的条件是物理接触设备。没有确认到可以远程攻击的记载
- 涉及的产品已经停止支持。没有写明会发布修复版
- 官方的提示是“不要继续使用，建议使用其他产品”
也就是说，这并不是“现在马上会被别人远程控制”的事情。另一方面，在不会被修复的情况下继续使用，官方并不建议。
已公布的内容
出处是JVN#47427200（2026年10月14日公布）以及Rakuten Mobile各机型的支持页面。
问题的内容
- 设备启动时，有确认软件是否被篡改的机制
- 用于该确认的密钥，仍然是Android开发方（AOSP）分发的测试用密钥
- 由于密钥是公开的，被篡改的软件有可能被当作正规软件对待
可能产生的影响
- 能暂时操作设备的攻击者，可以安装被篡改的软件
- 其结果是，可能发生设备权限被获取、恶意程序被执行、设置被更改
评估（JVN）
- CVE编号：CVE-2026-107153
- CVSS v4.0：7.0
- CVSS v3.0：6.6
- 攻击所需的条件，按向量的标注为物理访问
涉及机型
- Rakuten Mini
- Rakuten Hand
- Rakuten Hand 5G
- Rakuten BIG s
Rakuten Mobile的提示
Rakuten Mini的支持页面中写有以下内容。
- 漏洞是在2026年9月28日时判明的
- 建议不要继续使用涉及的产品，改用其他产品
- 理由是支持已于2023年11月28日结束
- 维修受理也已在同一天结束
- 没有确认到漏洞专用的咨询窗口（只有通往产品综合客服中心的链接）
另外3款机型，JVN上也写着“停止支持”。不过，结束日期在我能确认的范围内，只找到了Rakuten Mini的。
未写明的内容
我想这是机主最关心的地方。
- 有没有补偿、折价回收、换机优惠
- 修复版的提供计划（可以理解为不会发布，但没有明确写明）
- 在停止使用之前的临时对策
- 能否远程攻击（只有以物理访问为条件的记载）
- 有没有实际被利用的案例
- Rakuten Hand、Hand 5G、BIG s的停止支持日期
另外，在Keitai Watch报道的时间点，Rakuten Mobile的“公告”页面上，没有确认到关于这件事的单独公告。形式是各机型的支持页面中有提示。
机主一般性的防范措施
以下是一般性的注意事项。不是官方的步骤。
由于被利用的条件是“物理接触设备”，需要考虑的是设备落入他人之手的场合。
- 丢失・被盗是最危险的。务必设置屏幕锁，不要把设备交给别人保管
- 不要把银行App、支付App、工作数据等重要的东西放在上面继续使用。仅用作备用机，或通话・备忘专用
- 考虑换机。停止支持的设备，也更难获得系统和App的更新
- 处理掉时要恢复出厂设置。出售二手或转让时，先清除数据。设备的处理请遵循销售方的说明
- 从别人那里接手的设备，或买的二手设备，购买前要确认支持期限是否还有剩余
这里的“换”指的是换设备。不是更换手机运营商。
丢失设备时的应对，整理在“丢失时的第一步”中；换机的准备，整理在“换机检查清单”中。咨询窗口见“咨询方式的文章”。
同一周，还有另一项公布
2026年10月13日，还有另一项公布，称“my 楽天モバイル”的付款证明书有可能被第三方看到。与这次设备的事是两回事。请不要混淆。详情写在“另一篇文章”中。
总结
- Rakuten Mini、Hand、Hand 5G、BIG s的所有版本，在启动验证中使用了已知的测试密钥（JVN#47427200，2026年10月14日公布）
- 被利用需要物理接触设备。没有确认到远程攻击的记载
- 涉及的产品已经停止支持，没有写明修复版的计划。官方建议不要继续使用，改用其他产品
- 补偿、折价回收、临时对策、停止支持日期（Mini以外），在能确认的范围内没有写明
- 机主请做好应对丢失・被盗的屏幕锁，不要放入重要的App，并考虑换机
内容可能会更新。最新信息请在JVN和Rakuten Mobile各机型的支持页面确认。本文内容截至2026年10月15日。
来源：
- JVN#47427200「楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題」（2026年10月14日） https://jvn.jp/jp/JVN47427200/index.html
- 楽天モバイル Rakuten Mini サポート情報 https://network.mobile.rakuten.co.jp/product/smartphone/rakuten-mini/support/index.html
- ケータイ Watch「楽天モバイル「Rakuten Mini」「Rakuten Hand」などに脆弱性、AVB機能にテスト鍵が残存 利用停止と乗り換えを案内」（2026年10月14日） https://k-tai.watch.impress.co.jp/docs/news/2148168.html
本文包含联盟营销广告。如果您通过本站链接申请相关商品或服务，我们可能会从合作企业获得报酬。此外，运营者是乐天集团的员工，也可能通过员工推荐计划获得报酬。文章内容与评价均基于运营者的真实体验与调查完成，与是否存在广告无关。详情请参阅免责声明与联盟营销说明。 免责声明与联盟营销说明
本文包含机器翻译内容。正式条件请以乐天移动官方网站的多语言页面为准。
如果您对乐天移动的通信区域·信号状况有疑问，可以通过官方的 电波改善调查申请表 进行咨询。
