しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Readwise Readerの脆弱性とは？ XSS3件の影響と対策（2026年9月28日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングReadwise ReaderAndroid

この記事のポイント: JPCERT/CC（JVN）は2026年9月28日、Readwise, Inc. の Android アプリ「Readwise Reader」バージョン 8.7.2 に複数のクロスサイトスクリプティング（XSS）脆弱性（CVE-2026-18311など3件）があると注意喚起しました。悪意ある文書をきっかけにアプリ内でスクリプトが実行され、保存データやセッショントークンが盗まれる恐れがあるため、Google Play から最新版（8.10.1）への更新が対策です（出典: JVN・CERT/CC）。

Readwise Readerの脆弱性とは？ XSS3件の影響と対策（2026年9月28日公表）

JPCERT/CC と IPA は2026年9月28日、米国 Readwise, Inc. の Android アプリ「Readwise Reader」（バージョン 8.7.2）に複数のクロスサイトスクリプティング（XSS）の脆弱性があると注意喚起しました（出典: JVN、2026年9月29日取得）。悪意ある文書やメタデータをきっかけに、アプリの表示領域の中で任意のスクリプトが実行され、保存した文書・認証情報・セッショントークンにアクセスされる恐れがあります（出典: CERT/CC）。利用者が今すべきことは、Google Play からアプリを最新版（8.10.1 以降）へ更新し、信頼できないソースの記事や心当たりのない文書・ハイライトを開かないことです。

何が起きたか（要点）

米国の CERT/CC は2026年9月25日、Readwise, Inc. の「Readwise Reader for Android」に関する脆弱性を VU#699627 として公開しました。JVN はこれを受けて2026年9月28日に注意喚起（JVNVU#96520526）を公開しています（出典: CERT/CC・2026年9月29日取得）。読み心地を保ったまま記事を後で読むためのこのアプリには、悪意ある保存コンテンツがきっかけでスクリプトが動く「保存型XSS」と呼ばれる種類の脆弱性3件があります。

影響するバージョンの確認方法

対象は Android アプリ「Readwise Reader」のバージョン 8.7.2 と JVN に記載されています（出典: JVN、2026年9月28日公表）。利用中のバージョンは、次の手順で確認できます。

  1. Android 端末の設定画面から「アプリ」の一覧で Readwise Reader を開き、バージョンを確認します（機種によっては「アプリ情報」の下部に表示されます）。
  2. Google Play の Readwise Reader のアプリページ「このアプリについて」からもバージョンを確認できます（出典: CERT/CC が Google Play 経由での更新を案内）。

CERT/CC の公表時点で対象と記載があるのは Android 版です。iOS 版などほかの環境が対象かどうかは、執筆時に参照した一次情報には記載がありません。バージョン 8.7.2 以外での影響の有無も公表されていないため、どの環境でも最新版への更新が安全な進め方です。

利用者が今すべきこと

CERT/CC は、Google Play 経由でアプリを最新に保つこと、信頼できないソースからのコンテンツ追加に注意すること、保存前にメタデータ（タイトル・著者名など）を手動で確認することを挙げています（出典: CERT/CC・2026年9月25日公開）。この脆弱性は「保存された悪意あるコンテンツを開いたとき」に動く種類なので、更新に加えて何を開くかが対策になります。具体的には次の4点です。

  1. アプリを最新版へ更新する。CERT/CC の記載では、バージョン 8.10.1 に無害化処理の問題（ワイルドカード属性ルール）への対応パッチが含まれています（出典: CERT/CC・2026年9月25日公開）。Google Play で Readwise Reader を更新してください。
  2. 心当たりのない文書・ハイライト・おすすめ記事を開かない。見知らぬ送信者から共有された URL や、タイトル・著者名が不自然な記事は、保存も開くのも避けてください（出典: CERT/CC の推奨事項）。
  3. パスワードと二段階認証を見直す。Readwise アカウントのパスワードをほかのサービスと使い回している場合は変更を検討し、二段階認証を有効にします。この脆弱性ではセッショントークン（ログイン状態を証明する情報）が盗まれる恐れが説明されており、ログイン履歴に身に覚えのない端末がないかも確認してください（出典: CERT/CC・2026年9月25日公開）。
  4. 更新後も不審な動きがあれば対処する。勝手に別の画面が開く、知らないハイライトや文書が同期されるなどの挙動があれば、アプリからログアウトして開発者のサポートに報告してください。

よくある質問

Q. Readwise Readerの脆弱性とは何ですか？

Readwise, Inc. の Android アプリ「Readwise Reader」（バージョン 8.7.2）で見つかった3件の保存型クロスサイトスクリプティング（XSS）の脆弱性です（CVE-2026-18311・CVE-2026-18312・CVE-2026-18320）。CERT/CC が2026年9月25日に VU#699627 として公開し、JVN が2026年9月28日に注意喚起しました（出典: JVN・CERT/CC、2026年9月29日取得）。

Q. XSSの脆弱性で何が起こりますか？ アカウント乗っ取りにつながりますか？

CERT/CC の説明では、悪意ある文書やメタデータをきっかけにアプリの WebView 内で任意の JavaScript を実行でき、ユーザーデータの機密性・完全性が脅かされ、保存された文書・認証情報・セッショントークンへのアクセスが起こり得るとされています（出典: CERT/CC・2026年9月25日公開）。セッショントークンが盗まれると、パスワードを知らなくてもログイン状態をそのまま奪われるため、Readwise アカウントの乗っ取りにつながる恐れがあります。保存データ（読んだ記事やハイライト）が盗まれる点も、通常のパスワード流出とは違う被害の形です。

Q. 対策（アプリ更新）はどうすればよいですか？

Google Play から Readwise Reader を最新版へ更新します。CERT/CC の記載では、バージョン 8.10.1 に無害化処理の問題への対応パッチが含まれています（出典: CERT/CC・2026年9月25日公開）。あわせて、信頼できないソースからのコンテンツ追加に注意し、保存前にタイトル・著者名などのメタデータを確認することが推奨されています。修正版の提供状況は開発者の案内と JVN の注意喚起の更新を随時確認してください。

Q. この脆弱性でパスワード流出やアカウント乗っ取りは起きていますか？

執筆時点（2026年9月29日）で、この脆弱性による被害事例の公表は確認できていません。公表されているのは、セッショントークンなどへのアクセスが起こり得るという攻撃の恐れと、更新などの対策です（出典: JVN・CERT/CC）。パスワードの使い回しをしている場合は、どこかで流出したパスワードが別の被害につながるため、この機会にパスワードの変更と二段階認証の有効化を済ませておくことをすすめます。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。アプリやサービスの脆弱性で「今すべきこと」が変わる発表は、一次情報だけをもとに利用者の行動に落としてお伝えします。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針