ゲオアプリに脆弱性2件 — アプリ内ブラウザの誘導とパスワード窃取の恐れ、修正版11.8.8への更新が対策（2026年10月15日公表）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングゲオ

株式会社ゲオが提供するスマホアプリ「ゲオアプリ」に、脆弱性が2件確認されています（JVN#40460777・2026年10月15日公表）。1件はアプリ内ブラウザを任意のWebサイトへ誘導される恐れ、もう1件はパスワードが窃取される恐れで、いずれも修正版がリリース済みです。対象はAndroid/iOSのVer 11.8.6およびそれ以前で、最新版Ver 11.8.8へのアップデートがJVNが示す対策になります。

この記事では、JVNが公表した脆弱性の内容と、利用者が取るべき対策を、一次情報だけをもとに整理します。

何が起きたか（要点）

• JVN（JPCERT/CC と IPA の共同事業）は2026年10月15日、株式会社ゲオのスマホアプリ「ゲオアプリ」に脆弱性が2件あると公表した（JVN#40460777、2026年10月22日取得）。
• 対象は Android アプリ「ゲオアプリ」Ver 11.8.6およびそれ以前、iOS アプリ「ゲオアプリ」Ver 11.8.6およびそれ以前。
• 修正版は Android/iOS とも Ver 11.8.8 でリリース済み。最新版へのアップデートがJVNが示す対策。
• 想定される影響は、アプリ内ブラウザで任意のWebサイトにアクセスさせられ、フィッシング被害やセッションIDの窃取を受けうこと、およびアプリのユーザーのパスワードが窃取されること。

脆弱性2件の中身

• CVE-2026-96614「Custom URL Schemeの処理におけるアクセス制限不備」（CWE-939）: CVSS:4.0 の基本値は5.1。想定される影響は、当該アプリ内のブラウザで任意のWebサイトにアクセスさせられ、結果としてフィッシング被害を受けたり、当該サービスのセッションIDが窃取されたりすること（出典: JVN、2026年10月22日取得）。
• CVE-2026-105271「重要情報の平文保存」（CWE-312）: CVSS:4.0 の基本値は5.1。想定される影響は、攻撃者によって当該アプリのユーザーのパスワードが窃取されること（出典: JVN、2026年10月22日取得）。
• 2件とも情報セキュリティ早期警戒パートナーシップに基づきIPAへ報告され、JPCERT/CCが開発者との調整を行った（CVE-2026-96614は三井物産セキュアディレクション株式会社 金子 俊介氏、CVE-2026-105271は佐藤 壮氏。出典: JVN、2026年10月22日取得）。

利用者が取るべき対策

1. アプリを最新版 Ver 11.8.8 にアップデートする。修正版は Android/iOS ともにリリース済みで、これがJVNが示す対策（出典: JVN、2026年10月22日取得）。
2. 更新までは、アプリ内から案内される外部リンクを不用意に開かない。CVE-2026-96614 はアプリ内ブラウザが任意サイトへ誘導される種類の問題で、フィッシングの入口として使われ得ます。
3. ゲオアプリのパスワードを他のサービスと使い回しているなら、使い回しの側から変更する。CVE-2026-105271 はパスワード窃取につながる平文保存で、万一の漏えい時の被害を広げないための予防になります。

対象バージョンと修正版

影響を受けるのは Android アプリ「ゲオアプリ」Ver 11.8.6およびそれ以前、iOS アプリ「ゲオアプリ」Ver 11.8.6およびそれ以前。修正版は Android アプリ Ver 11.8.8、iOS アプリ Ver 11.8.8（出典: JVN#40460777「スマートフォンアプリ「ゲオアプリ」における複数の脆弱性」、2026年10月22日取得）。

自分の端末が対象かどうかは、Google Play または App Store のアプリ更新履歴で確認できます。更新履歴に Ver 11.8.8 が入っていれば修正済みです。Ver 11.8.6 以前が残っているなら、その時点でアップデートの対象です。

よくある質問

Q. ゲオアプリの脆弱性とはどのようなものですか？

2026年10月15日の JVN#40460777 で公表された2件です。1件はアプリの Custom URL Scheme の処理におけるアクセス制限不備（CVE-2026-96614）で、アプリ内ブラウザを任意のWebサイトへ誘導され、フィッシング被害やセッションIDの窃取につながる恐れがあります。もう1件は重要情報の平文保存（CVE-2026-105271）で、攻撃者にユーザーのパスワードを窃取される恐れがあります。

Q. 今すぐアプリを更新する必要がありますか？

対象バージョン（Ver 11.8.6およびそれ以前）を使っているなら、修正版 Ver 11.8.8 へのアップデートを急ぐのがJVNが示す対策です。修正版は Android/iOS ともリリース済みで、アプリストアの更新手続きだけで反映されます。更新前にアプリ内から開く外部リンクは、送り主を確認してから開いてください。

Q. パスワードは変えたほうがいいですか？

CVE-2026-105271 はパスワードが平文で保存される問題で、窃取され得る情報にパスワードが含まれます。ゲオアプリのパスワードを他のサービスでも使い回している場合は、使い回している側のパスワードから変更しておくのが安全です。変更後は二段階認証も有効にしておくと、仮にパスワードが漏えいしても不正ログインを防げます。

Q. 被害は報告されていますか？

JVN#40460777 の公表文には、悪用被害の有無についての記載はありません（2026年10月22日取得）。公表されているのは脆弱性の存在・影響・対策であり、被害の有無はこの一次情報からは確認できません。対象バージョンを使っているなら、被害の有無を待たずに更新するのが対応です。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。新しい注意喚起が公表されたときは、利用者が取るべき手順と一緒にまとめてお伝えします。

出典: JVN#40460777「スマートフォンアプリ「ゲオアプリ」における複数の脆弱性」（2026年10月22日取得） ／ 更新先のアプリ: Google Play「ゲオアプリ」

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針