Android版「YAMAP」にアプリ内ブラウザの脆弱性 — ヤマップはv17.2.0で修正済みと公表、CVE-2026-85125

要点

• 株式会社ヤマップが提供するAndroidアプリ「YAMAP / ヤマップ登山地図アプリ」に、アプリ内ブラウザ（WebView：アプリの中でWebページを表示する部品）のアクセス制限が適切でない脆弱性があることが判明した。JVN（Japan Vulnerability Notes）は2026年9月14日、脆弱性情報「JVN#69877538」としてこの脆弱性を公表した。CVE番号はCVE-2026-85125。
• 影響を受けるのは、Android版YAMAPアプリのv17.1.0およびそれ以前のバージョンだ。ヤマップは自社の公式情報で、iOS版は影響を受けないと説明している。
• ヤマップは2026年8月31日に配信したv17.2.0でこの脆弱性を修正し、対応を完了したと公表している。同社は「本脆弱性を悪用した攻撃の発生は確認されておりません」としている。

どのような脆弱性か

JVNが公表した内容によると、この脆弱性は「通信チャネルの送信元の検証不備」（CWE-940）に分類される。CVSS基本値はCVSS v4.0で5.1、CVSS v3.0で5.4と評価されている。

ヤマップは自社の公式情報で、アプリ内ブラウザにおいて外部からの入力の検証が不十分であり、あわせて不要な権限が有効になっていたと説明している。

想定される影響

ヤマップは、端末に不正なアプリがインストールされている場合、次の3つの事象が生じる可能性があるとしている。

1. アプリが内部に保存している情報が、アプリ内ブラウザ上に表示される
2. アプリ内ブラウザで、YAMAP以外のページが表示される
3. アプリ内ブラウザの一部機能が意図せず実行される

ヤマップはあわせて、これらの情報が外部に送信される経路は同社の調査では確認されていないこと、本脆弱性を悪用した攻撃の発生も確認されていないことを説明している。

修正と利用者への呼びかけ

ヤマップは、2026年8月31日に配信したv17.2.0で脆弱性を修正し、修正版の配信をもって対応を完了したと公表している。同社は「お手数ですが、Google Play より最新版へのアップデートをお願いいたします」と利用者に呼びかけている。

JVNも「開発者が提供する情報をもとに、最新版へアップデートしてください」と案内している。

この脆弱性は、株式会社ブロードバンドセキュリティの佐藤光喜氏が情報セキュリティ早期警戒パートナーシップに基づいてIPA（情報処理推進機構）へ報告し、JPCERT/CC（JPCERTコーディネーションセンター）がヤマップとの調整を行ったものだ。

日本の読者への影響

YAMAPは登山者向けの地図・活動記録アプリで、国内に多数の利用者がいる。今回の影響範囲はAndroid版のv17.1.0以前に限られ、修正済みのv17.2.0が2026年8月31日から配信されている。Android端末でv17.1.0以前を使っている人は、Google Playで最新版へ更新しておきたい。ヤマップとJVNはいずれも最新版へのアップデートを利用者に呼びかけている。

なお、ヤマップは、これらの情報が外部へ送信される経路は同社の調査では確認されておらず、本脆弱性を悪用した攻撃の発生も確認されていないとしている。

出典

• JVN, 「JVN#69877538: Androidアプリ「YAMAP / ヤマップ登山地図アプリ」におけるアクセス制限不備の脆弱性」（2026年9月14日）: https://jvn.jp/jp/JVN69877538/index.html
• ヤマップ, 「【修正済み：不具合】Android 版 YAMAP アプリにおける、アプリ内ブラウザに関する脆弱性」（2026年9月14日）: https://info.yamap.com/archives/8173