Android「マイナポイント」アプリにアクセス制限不備（CVE-2026-73335）— 悪意あるアプリからIntent経由でJavaScript実行の恐れ、2.0.7への更新を呼びかけ

IPA（情報処理推進機構）とJPCERT/CC（JPCERTコーディネーションセンター）が運営する脆弱性情報サイトJVN（Japan Vulnerability Notes）は2026年8月26日、デジタル庁が提供するAndroidアプリ「マイナポイント」に、アクセス制限不備の脆弱性（CVE-2026-73335、JVN#67155805）があると公表した。端末にインストールされた悪意あるアプリがIntentを介して同アプリの機能を悪用し、アプリ上で任意のJavaScriptが実行される可能性がある。JVNは開発者が提供する最新版への更新を呼びかけている。

脆弱性の概要 — Custom URL Schemeハンドラーのアクセス制限不備

JVN#67155805によると、脆弱性は**Custom URL Schemeハンドラーにおけるアクセス制限不備（CWE-939）**に分類される。CVSSによる深刻度の基本値は、CVSS 3.0で5.3、CVSS 4.0で4.6と評価されている。

影響を受けるのは、Androidアプリ「マイナポイント」バージョン2.0.6およびそれ以前である。JVNは、ユーザーのAndroid端末において、同端末にインストールされた悪意あるアプリからIntentを介して当該アプリの機能が悪用され、当該アプリ上で任意のJavaScriptが実行される可能性があると説明している。Custom URL Schemeはアプリ固有のURLスキームでIntentを処理する仕組みであり、呼び出し元の検証が不十分な場合、他アプリからのIntentが想定外の機能を実行する恐れがある。

報告の経緯と公表

この脆弱性は、情報セキュリティ早期警戒パートナーシップに基づき、GMO Flatt Security株式会社のRyotaK氏が開発者とIPAへ報告し、JPCERT/CCが開発者との調整を行ったうえで公表されたとJVNは記載している。JVNは、デジタル庁が提供する「マイナポイント」アプリのベンダ情報を参照し、最新版へアップデートするよう呼びかけている。

JVNDB（JVN iPedia）のJVNDB-2026-000123でも同内容が登録されており、CVE-2026-73335として識別されている。

影響と求められる対応

JVNが推奨する対応は、開発者が提供する情報をもとに最新版へアップデートすることである。具体的には、バージョン2.0.7以降への更新が対策となる。アプリが端末内でJavaScriptを実行できる特性上、悪意あるアプリが同一端末にインストールされている場合に、権限やデータの境界を越えた操作につながる可能性がある。

JVNは対策として、最新版への更新のみを挙げており、回避策の詳細は示していない。利用者はGoogle Play ストアで「マイナポイント」アプリの更新を確認し、提供元がデジタル庁であることを確認したうえで最新版を導入することが求められる。

日本の利用者への注意点

「マイナポイント」はマイナンバーカードを活用したポイント事業の手続きで広く使われるアプリであり、個人の決済・給付関連の手続きと結びつくため、端末内での不正なスクリプト実行は影響が大きい。端末に不審なアプリをインストールしないこと、提供元不明のAPKを導入しないこと、OSとアプリを常に最新に保つことは、今回のようなIntent経由のアプリ間連携を悪用する脆弱性のリスクを下げる基本的な対策である。JVNが示すとおり、まずはアプリ自体を最新版へ更新することが最も確実な対策となる。

出典

• JVN, “JVN#67155805: Androidアプリ「マイナポイント」におけるアクセス制限不備の脆弱性” (2026-08-26) — 影響バージョン2.0.6以前、CVE-2026-73335、CWE-939、CVSS 3.0で5.3／CVSS 4.0で4.6、GMO Flatt Security RyotaK氏の報告とJPCERT/CCの調整、最新版への更新の呼びかけ
• JVNDB, “JVNDB-2026-000123” — 同脆弱性のデータベース登録