Android脆弱性CVE-2026-58936——CVSS 9.8のRCEリスクと企業の対応

CVE-2026-58936とは——Android 14〜17に存在するCVSS 9.8の脆弱性

2026年11月2日、GoogleはAndroidセキュリティに関する重大な脆弱性情報を公開した。CVE番号はCVE-2026-58936。最終更新は2026年11月4日（出典: CVE公式記録 — cve.org）。

CVSS 3.1スコアは9.8（CRITICAL）。評価者はCISA-ADP。ベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hであり、CVSSベクトル上、ネットワーク経由・追加権限不要・ユーザー操作不要という条件が示されている。影響を受けるバージョンは以下のとおりだ。

• Android 14
• Android 15
• Android 16
• Android 16-QPR2
• Android 17

技術的な核心はPNG画像処理ライブラリ内の関数png_set_tRNS（pngset.c）にあるuse-after-free（解放済みメモリの再使用）だ。この欠陥を突かれると、メモリ破損を経由したリモートコード実行（RCE）につながる可能性がある。悪用に追加の実行権限やユーザー操作は不要とされている。

CISA KEV（既知悪用脆弱性カタログ）への掲載は確認されていない。EPSS（悪用される確率の統計的推定値）は同日時点で0.00306（パーセンタイル0.235）と低位だが、これは「今後も悪用されない」という保証ではなく推定値にすぎない（出典: NVD — nvd.nist.gov）。

関連記事Android SMS of Death脆弱性とは？ ／ Android版Chromeの脆弱性は？

Android脆弱性CVE-2026-58936が日本企業にとって意味すること

CISA KEVに掲載がなく、EPSS値も低位であることから、公開情報の範囲では実際の悪用は確認されていない。

Android脆弱性CVE-2026-58936への実務対応——今やること

現時点で取るべき行動は、以下の2点に集約される。

1. 影響バージョンの端末を使用している場合は、ベンダーの告知の修正版へ更新する。
Android 14・15・16・16-QPR2・17が対象だ。

2. 修正版が無い場合は、ベンダーの告知に従う。公式の回避策は、CVE公式記録には記載がない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

この脆弱性の限界と不確実な点

技術的に深刻度が高い脆弱性ではあるが、現状では公開情報だけでは確認できない点が複数ある。

EPSSはあくまで統計的推定であり、確定的な悪用の有無を示すものではない。

CVE公式記録では「ベンダー告知の本文が取得できなかった」と注記されており、Googleの公式Androidセキュリティ情報に追加の詳細が含まれる可能性がある。最新の公式告知を直接確認することを推奨する。

参考文献

• CVE公式記録 — cve.org: https://www.cve.org/CVERecord?id=CVE-2026-58936（2026-11-04最終更新）
• NVD（National Vulnerability Database）— nvd.nist.gov: https://nvd.nist.gov/vuln/detail/CVE-2026-58936