新たに発見された脆弱性によってスマートフォンが再起動ループから抜け出せなくなる可能性があり、Androidユーザーは思わぬ事態に見舞われるおそれがある。
GhostMapと名付けられたこの脆弱性では、特別に細工されたAndroidアプリによって端末をクラッシュループに陥らせることができる。この攻撃には特別な権限は必要なく、アプリを開く必要すらないため、通常とは異なる機密性の高い権限を要求するアプリを危険信号と捉えるよう教育されてきた不意打ちを受けやすいユーザーにとって、特に危険だ。
Bitdefenderの研究者がこの脆弱性を発見し、Android 10以降に影響すると述べている。2026年8月のセキュリティアップデートを適用したGoogle Pixel 10で、攻撃が成功することも確認された。さらに懸念されるのは、Googleが実証済みの概念実証コードを受け取ったと報じられているにもかかわらず、この問題に対処するセキュリティアップデートの提供を確約していないことだ。
GhostMapをひも解く
GhostMapは、銀行口座の認証情報を狙ったり金銭を盗もうとしたりするものではない。少なくともBitdefenderは、そのような動機を確認していない。そうではなく、Androidそのものの弱点を悪用し、ユーザーに直接被害を与える。
Bitdefenderの調査は2026年8月12日、疑わしいバンキング型ドロッパーがAndroid分析用エミュレーターを繰り返しクラッシュさせたことを受けて始まった。
興味深いことに、そのアプリケーションは実際には一度も実行されていなかった。さらに調査を進めると、本当の問題はAndroidがアプリケーションファイル内の特定の情報を処理する方法にあることが判明した。
Androidアプリケーションは通常、アプリケーションのコードや画像、その他のリソースを含むアーカイブであるAndroid Package Kit（APK）として提供される。OSはインストール時やシステムコンポーネントがそれらにアクセスするときに、こうした内容を処理する必要がある。GhostMapはこの処理の弱点を悪用する。
具体的には、Androidの2つのコンポーネント、libziparchiveとlibandroidfwは、特定のAPKメタデータを異なる方法で解釈する。一方のフィールドはファイルの圧縮方法を示し、もう一方は展開後に想定されるサイズを宣言する。攻撃者はこの情報を改ざんし、Androidに誤ったサイズでファイルを処理させることができる。
Androidが不正なファイルをメモリにマッピングしようとすると、無効なメモリ領域にアクセスしてSIGBUSエラーを引き起こし、影響を受けたプロセスがクラッシュする可能性がある。
問題は、Androidがクラッシュしたプロセスを自動的に再起動することだ。これは本来理想的な動作だが、同じ不正なリソースに遭遇するため、またクラッシュし、さらにまたクラッシュする。
研究者は、通常モードで110回、セーフモードで72回のクラッシュサイクルを記録した。どちらのモードでも、確実に脱出することはできなかった。
Googleはセキュリティ修正を行うと確約していない
Bitdefenderは脆弱性を発見して放置したわけではない。脆弱性はAndroidそのものに存在するため、研究者は調査結果を公表する前に、Googleに対処を求める試みを2度行った。
最初の報告は8月20日に提出されたが、Googleは「修正しない（再現不可能）」として処理を終了した。
Bitdefenderは、影響の可能性を示す実証済みの概念実証コードなど、追加の証拠を添えて再度報告した。Googleはその後、この問題はセキュリティアップデートの対象外と判断し、将来的な検討の可能性を含めて別のチームに委ねた。
Bitdefenderは11月5日に調査結果を公表したが、この脆弱性に対処するセキュリティアップデートの提供は確約されていない。研究者は元のバンキング型ドロッパーが実際に出回っていることを確認したものの、攻撃者が永続的なクラッシュループという手法を実際の被害者に対して使用したことは確認していない。
しかし今や危険なのは、技術的な詳細が公開され、攻撃者が脆弱性を調査し、Googleが修正を提供する前に独自のエクスプロイトを開発する競争に乗り出せることだ。
安全を保つためにできること
エクスプロイトが公開され、この問題に対処するセキュリティアップデートも確約されていない現在、悪意のあるAPKへの接触を防ぐことを優先すべきだ。
通常のアプリインストール時の注意点も引き続き有効だ。
- 信頼できる配布元に限定する、できればGoogle Playを利用する
- 見慣れないウェブサイトからAPKをダウンロードしない
- 一方的に送られてきたリンク経由で共有されたアプリには注意する、メッセージングプラットフォーム経由のものにも
- アプリ開発者を確認するため、インストール前に複数の独立した方法で確認する。これは特に重要だ。このようなクラッシュを引き起こせるアプリは、実行すら必要としないからだ。
最初の方法は工場出荷時設定へのリセットだ。Bitdefenderのテストでは、これが唯一確実な復旧手段だった。端末を使用可能な状態に戻せるはずだが、すべてのデータも消去される。最近バックアップを取っていれば、被害を抑えられる可能性がある。バックアップがなければ、スマートフォンへのアクセスを失う以上の大きな損失を被るおそれがある。
研究者はまた、接続したコンピューターから悪意のあるアプリケーションを削除する方法として、Android Debug Bridge（ADB）も挙げている。この方法を使うには、あらかじめUSBデバッグを有効にしておく必要があり、さらにコンピューターが端末との通信を許可されていることが条件になる場合がある。
大半のユーザーにとって、こうした条件があるため、緊急時の解決策としてADBを使うのは現実的ではない。
修正が利用可能になるまで、信頼できないAPKを避け、最新のバックアップを維持することが、端末のクラッシュが続く状態と工場出荷時設定へのリセットのどちらかを選ばざるを得なくなる可能性のある脆弱性への重要な対策となる。
関連ニュースでは、 CrowdStrikeの調査で、攻撃者が公開された概念実証コードの利用が可能になってからわずか35分後に脆弱性の悪用を始めていたことが判明した。これは、サイバー犯罪者が新たに公表された脆弱性をいかに素早く武器化できるか、そして脆弱なシステムにパッチを適用するようセキュリティチームにかかる圧力が高まっていることを浮き彫りにしている。