Samsung、2026年11月のセキュリティアップデートで重大な脆弱性に対処――Galaxyユーザーが知っておくべきこと

Samsung Galaxyスマートフォンには、攻撃者が悪意あるコードを実行したり、機密情報にアクセスしたり、許可されていない操作を実行したりできる脆弱性へのパッチなど、重要なセキュリティ修正が適用されていない可能性がある。

Samsungは11月3日、2026年11月のセキュリティ情報を公開し、Android、Galaxy固有のソフトウェア、端末コンポーネントに影響する脆弱性への修正を明らかにした。今回のアップデートには、重大なAndroidセキュリティ脆弱性に加え、ブートローダー、カメラソフトウェア、Messages、Contactsに影響するSamsung固有の脆弱性への対処も含まれている。

Galaxyユーザーにとって、まず気になるのは端末が最新の保護を受けているかどうかだ。Samsung製端末を管理する企業にとっては、懸念はさらに大きい。パッチ未適用の端末は、機密情報を露出させたり、企業システムへの新たな侵入口となったりする可能性がある。

Samsungの11月アップデート、AndroidとGalaxyのセキュリティ脆弱性に対処

Samsungの 11月の公式セキュリティ情報では、Samsung固有のセキュリティ項目24件と、重大度の高い半導体脆弱性4件が特定されている。これらに加え、Googleの11月Androidセキュリティ情報に含まれるパッチも適用される。

同社はまた、11月のメンテナンスリリースで対処されたGoogleの脆弱性、過去のアップデートですでに修正された問題、Samsung製端末には該当しない脆弱性を区別している。こうした区別は重要だ。公表される脆弱性の総数は、研究者や報道機関が問題をどう数えるかによって変わる可能性があるためだ。

過去のアップデートですでに対処された脆弱性を含める報告もあれば、Android、Samsungのソフトウェア、ハードウェアコンポーネントにまたがる問題を別々に数える報告もある。

したがって、単一の合計値を、すべてのGalaxy端末に影響する新たに悪用可能な脆弱性の数と解釈すべきではない。

実際の影響範囲は、端末モデル、Androidのバージョン、ハードウェアコンポーネント、過去にインストールされたセキュリティアップデートによって異なる。

それでも、11月のセキュリティ情報には、GalaxyユーザーとIT管理者が理解しておくべき深刻な脆弱性が複数含まれている。

重大なAndroid脆弱性によりリモートコード実行の可能性

特に懸念される問題の1つは、AndroidのFrameworkコンポーネントに関係するものだ。

Googleの 2026年11月Androidセキュリティ情報では、追加の実行権限やユーザー操作を必要とせずにリモートコード実行を可能にする重大な脆弱性が特定されている。

リモートコード実行によって、攻撃者は脆弱性のある端末上で悪意ある命令を実行できる可能性がある。結果は、影響を受けるコンポーネント、攻撃者の能力、施されているセキュリティ保護によって異なる。

Googleは、重大度の評価において、特定のプラットフォームおよびサービスの保護機能が無効化されているか、攻撃者によって回避されていることを前提としていると説明している。今回のセキュリティ情報は、攻撃者が現在この脆弱性を悪用していることを示すものではない。それでも、リモートから悪用される可能性があるため、特に重要な問題といえる。

スマートフォンへの物理的なアクセスが必要な攻撃とは異なり、リモート脆弱性の中には、所有者が悪意あるコンテンツを直接操作しなくても悪用できるものがある。

Galaxyユーザーにとって、端末が正常に動作しているように見える場合でも、利用可能なアップデートを速やかにインストールする強い理由となる。

Samsung固有の脆弱性で特に懸念されるものは？

Samsungの11月のセキュリティ情報では、Galaxy端末に搭載されているコンポーネントやアプリケーションに影響する脆弱性も特定されている。

不適切な認証やアクセス制御に関係するものもあれば、メモリ処理に関係し、攻撃者によるコード実行につながる可能性があるものもある。

主な脆弱性は次のとおりだ。

重大度が高い3件の脆弱性は、メモリ処理または入力検証の問題に関係する。一方、重大度が中程度のSamsung Messagesの脆弱性は、不適切な認証に関係している。

悪用に必要な条件も重要だ。例えば、ブートローダーの脆弱性では、攻撃者が物理的にアクセスする必要がある。カメラライブラリの脆弱性では、ローカルの攻撃者によるアクセスとユーザー操作が必要だ。いずれも、Galaxyスマートフォンをリモートから侵害できる攻撃が確認されたと誤解すべきではない。

Samsungは、必要な権限なしにローカルの攻撃者が通話を開始できる可能性がある、Contacts関連の脆弱性についても説明している。これらの重大度が中程度の問題は、一部のContactsウィジェットやアプリケーションコンポーネントに影響する。Samsungは、使用されていないコードを削除したり、アクセス制御を強化したりして対処した。

ユーザーにとって、今回の調査結果は、メッセージング、通話、メディア処理など、日常的なスマートフォンの機能にもセキュリティ脆弱性が影響し得ることを示している。ただし、Samsungのセキュリティ情報は、これら特定の脆弱性が現在悪用されていることを示すものではない。

同社は、独立した調査を通じて端末のセキュリティも厳しく検証されてきた。10月のPwn2Own競技会では、研究者が Galaxy S26の悪用に複数回成功した。

これらの調査結果は11月のセキュリティ情報とは別のものだが、比較的新しいスマートフォンであっても、継続的なセキュリティテストとアップデートが必要である理由を示している。

11月のアップデートが必要なSamsung Galaxyスマートフォンは？

すべてのGalaxyスマートフォンがすべての脆弱性の影響を受けるわけではなく、すべてのモデルが同じスケジュールでセキュリティアップデートを受け取るわけでもない。

Samsungは脆弱性ごとに影響を受けるAndroidのバージョンを示しており、11月の修正の多くはAndroid 14、15、16、17で動作するソフトウェアに適用される。

ただし、これらのAndroidバージョンを使用するすべての端末に、影響を受けるすべてのコンポーネントが含まれているという意味ではない。特定の脆弱性が該当するかどうかは、端末のハードウェア、メーカーのソフトウェア、過去に適用されたパッチによっても決まる。Samsungは、端末の適用対象かどうかと地域での提供状況に基づいてセキュリティアップデートを配信している。

同社は、アップデートの提供時期がモデルや地域によって異なる可能性があると注意を促している。チップセットベンダーによる一部のパッチは、月例リリースの初回パッケージではなく、後続のアップデートパッケージで提供される場合もある。そのため、2人のGalaxyユーザーが11月のセキュリティ修正を異なる時期に受け取ることもある。

Samsungの セキュリティアップデートの対象範囲には、月次、四半期ごと、そのほかのセキュリティアップデート間隔が予定されている端末が示されている。

古いスマートフォンの所有者は、こうしたスケジュールに特に注意すべきだ。

eSecurity Planetが以前報じたように、 Samsung Galaxyのセキュリティサポートの変更により、古いモデルではパッチの提供回数が減ったり、最終的に定期的なセキュリティサポートを受けられなくなったりする可能性がある。

Galaxyスマートフォンで銀行アプリ、会社のメール、個人の機密情報にアクセスしている場合、端末を買い替えるかどうかを判断する際には、継続的なセキュリティサポートを考慮すべきだ。

Galaxyスマートフォンが最新のセキュリティ修正を受けているか確認する方法

Samsung Galaxyの所有者は、端末が11月のパッチを自動的に受け取っていると思い込まず、利用可能なソフトウェアアップデートを確認すべきだ。

手順は次のとおり。

1. 「設定」を開く。「ソフトウェア更新」に移動する。
2. 「アップデートを確認」をタップする。「ダウンロードしてインストール」を選択し、利用可能なソフトウェアアップデートを検索する。
3. 利用可能なパッチをインストールする。画面の指示に従い、必要に応じて端末を再起動する。
4. セキュリティパッチレベルを確認する。「設定」を開き、「端末情報」、「ソフトウェア情報」の順に選択して、Androidセキュリティパッチレベルを確認する。
5. サポートスケジュールを確認する。アップデートが表示されない場合は、そのモデルが月次または四半期ごとのセキュリティアップデートを受け取る対象か確認する。

ユーザーは、Googleが2026年11月向けに2つのAndroidセキュリティパッチレベルを公開していることも理解しておく必要がある。

2026年11月1日：このパッチレベルを報告する端末は、11月1日のパッチレベルおよびそれ以前のAndroidセキュリティ情報に関連する脆弱性に対処していなければならない。

2026年11月5日：このパッチレベルを報告する端末は、11月の両方のパッチレベルおよびそれ以前のAndroidセキュリティ情報に関連する、該当するすべての脆弱性に対処していなければならない。

Googleは、2026年11月5日以降のAndroidセキュリティパッチレベルであれば、11月のAndroidセキュリティ情報に記載された該当するすべての問題に対処できると確認している。ただし、その日付だけで、Samsung固有またはチップセットベンダー固有の脆弱性すべてに対処済みだと証明されるわけではない。

Samsungは、11月のセキュリティメンテナンスリリースをSMR Nov-2026 Release 1と呼んでいる。この名称は、メンテナンスリリースと、それに関連するセキュリティ修正を示すものだ。すでにすべての対応Galaxyスマートフォンに配信されたことを意味するわけではない。

Samsungは、アップデートの提供状況がモデルや地域によって異なると説明している。また、端末固有のチップセットパッチの一部は、後続のパッケージで配信される可能性があるとも注意している。対応端末では、Samsungのセキュリティインデックスをセキュリティソフトウェアバージョンで確認できる。

端末が最新の修正を受け取っているか判断する際には、Androidセキュリティパッチレベルと、Samsungが適用するアップデート情報の両方を確認すべきだ。

11月のアップデートがまだ利用できない場合、端末は地域ごとの配信を待っているか、別のアップデートスケジュールに従っている可能性がある。しかし、端末がセキュリティサポートを受けられなくなっている場合、機密性の高い活動に使い続けることは、避けられるリスクを生む可能性がある。

Samsung製端末を使う企業が今すべきこと

組織にとって、モバイルセキュリティアップデートは従業員のスマートフォンを最新状態に保つことだけが目的ではない。

スマートフォンからは、企業メール、クラウドアプリケーション、社内文書、認証サービス、業務上の通信にアクセスできることが多い。

攻撃者が端末を侵害した場合、影響はその端末からアクセスできるシステムや情報にまで及ぶ可能性がある。

IT部門とセキュリティチームは、次の対策を優先すべきだ。

• 業務で使われているSamsung端末を特定する。会社支給のスマートフォンと、企業システムへのアクセスを許可した個人所有端末を確認する。
• パッチ適用状況を確認する。モバイルデバイス管理ツールを使い、古いセキュリティパッチが適用された端末を特定する。
• 機密性の高いアカウントを優先する管理者や幹部、機密情報にアクセスできる従業員が使用する端末には、特に注意を払う。
• サポート対象か確認するどのモデルが引き続きセキュリティアップデートを受け取れるのか、またどのモデルを買い替える必要があるのかを判断する。
• 適切なアクセス ポリシーを適用する組織が承認したセキュリティ基準を下回る端末からの機密性の高い企業リソースへのアクセスを制限することを検討する。

管理者は、予定されているアップデートの配信を待っている端末と、すでにサポート対象外となった端末も区別すべきだ。四半期ごとのアップデートスケジュールにあるスマートフォンは、月次アップデートを受け取る端末よりパッチの日付が古くても、正当な理由がある可能性がある。

組織は、端末のリスクプロファイルと、その端末からアクセスできる情報の機密性を踏まえて、この違いを評価すべきだ。

セキュリティチームは、脆弱性がAndroid自体だけでなく、メーカーのアプリケーションや関連ソフトウェアにも影響する可能性があることを忘れてはならない。

今年初め、eSecurity Planetは 4件のSamsung Smart Switchの脆弱性について報じた。これらは機密情報をさらす可能性があった。このことは、セキュリティリスクを評価する際に、モバイルソフトウェア環境全体を考慮する必要性を改めて示している。

11月のアップデートをインストールすれば、リスクはなくなるのか？

最新の該当するセキュリティアップデートをインストールすれば、そのリリースで対処された脆弱性にさらされるリスクは低減できるが、考えられるすべてのセキュリティ脅威をなくすことはできない。攻撃者は、フィッシング、悪意のあるアプリケーション、盗まれた認証情報、ソーシャルエンジニアリング、未発見の脆弱性を通じて、引き続きユーザーを標的にできる。

Galaxyの所有者は、強固な画面ロックを使用し、アプリケーションを最新の状態に保ち、アプリの権限を確認し、信頼できない提供元からのダウンロードを避けるべきだ。

企業は、パッチ管理に加えて、モバイルアクセス制御、端末の監視、紛失・侵害・サポート対象外となったスマートフォンの取り扱いに関するポリシーを組み合わせるべきだ。

Galaxyユーザーが次に注意すべきこと

Samsungの2026年11月の情報は、同社が対処しているセキュリティ問題を示しているが、修正の提供状況は今後も個々の端末と配信スケジュールに左右される。

Galaxyの所有者にとって、当面の優先事項は、インストールされているセキュリティパッチレベルを確認し、利用可能な最新のアップデートを適用することだ。

企業にとって次のステップは、パッチが未適用の端末を特定し、その遅れが予定されたものかどうかを判断するとともに、サポート対象外のハードウェアを交換する必要があるかどうかを判断することだ。

結論は明快だ。公開されたセキュリティ修正も、脆弱な端末に届くまではほとんど保護にならない。今日アップデートを確認するという簡単な手順が、明日、はるかに複雑なセキュリティ問題を防ぐ可能性がある。

関連記事：Googleの最新のAndroidセキュリティ修正を詳しく見るには、eSecurity Planetが報じた 11月に対処されたAndroidの脆弱性216件についての報告（スマートフォンに影響する重大なリモートコード実行の脆弱性を含む）。