JVN iPediaは、Androidアプリ「YAMAP / ヤマップ登山地図アプリ」において、アクセス制限不備の脆弱性があると公表した。この脆弱性は、YAMAP INC.が提供するAndroidアプリ「YAMAP -Social Trekking GPS App」のバージョン17.1.0およびそれ以前に影響し、CVE-2026-85125として登録されている。CVSS v3の基本値は5.4（警告）で、攻撃元区分はネットワーク、攻撃条件の複雑さは低、特権レベルは不要、利用者の関与は必要と評価されている。影響を受ける利用者は、提供元が案内する修正版への更新が求められる。
脆弱性の詳細
JVN iPediaによると、本件は「Improper Verification of Source of a Communication Channel（CWE-940）」に分類される脆弱性である。アプリ内ブラウザに起因して、アプリ内の情報が漏えいしたり、利用者を意図しないWebサイトへ誘導したりするおそれがあるとされている。
本件はKoki Sato氏（BroadBand Security, Inc.）がIPAに報告し、JPCERT/CCが情報セキュリティ早期警戒パートナーシップに基づいて開発者と調整した。公表日は2026年9月14日で、JVN#69877538としても公開されている。
攻撃手法としては、アプリ内ブラウザの通信相手の検証不備を悪用し、利用者の操作を伴って情報漏えいや意図しない遷移を発生させる形が想定される。攻撃の成立には利用者の関与が必要とされているため、攻撃者が直接端末を操作しなくても、リンクの誘導などを通じて被害が発生する可能性がある。
影響を受ける製品・バージョン
- YAMAP INC.が提供するAndroidアプリ「YAMAP -Social Trekking GPS App」バージョン17.1.0およびそれ以前
推奨される対策
- 提供元が案内する修正版への更新：JVN iPediaによると、影響を受けるバージョンは17.1.0およびそれ以前であるため、修正版へ更新することが基本対策となる。
- アプリ内リンクの取り扱い確認：アプリ内ブラウザや外部サイトへの遷移時には、表示先のURLや提供元を確認し、不審な画面遷移を避ける。
- 端末とアカウントの棚卸し：当該アプリを利用している端末を確認し、不要な端末・アカウントの整理、更新状況の確認を実施する。
- 不審な挙動の点検：意図しないWebサイトへの遷移や、アプリ内での不自然な表示・挙動がないか確認し、必要に応じて利用を停止する。
日本の中小企業が今すぐ取るべき行動
- 最優先：社内での利用有無を確認：業務端末に当該アプリが入っているかを即日確認する。
- 次に：バージョン確認と更新の徹底：17.1.0およびそれ以前に該当する場合は、速やかに更新を指示する。更新できない端末がある場合は一時的な利用停止を検討する。
- 業務データとの分離：業務端末で個人向けアプリを使う場合は、業務アカウントと個人アプリの混在を避け、必要最小限の権限運用とする。
- 管理者向け周知：アプリ内ブラウザの不備は、利用者が気付きにくい情報漏えいや誘導につながる可能性があるため、問い合わせ窓口と対応期限を明確にする。
- 再発防止の仕組み化：アプリ更新を利用者任せにせず、自動更新の利用や棚卸し頻度の設定など、更新管理のルールを整備する。
CSRIからの現場アドバイス
実際の診断では、アプリ内ブラウザや外部連携部分で、通信先の検証が不十分なケースが見つかることがあります。こうした不備は、正規の画面に見えても別のサイトへ誘導されたり、情報が漏えいしたりする原因になります。
例えるなら、正面の受付はあるのに、入館先の確認が甘くて関係ない相手を通してしまうようなものです。つまり、利用者は正しい画面を見ているつもりでも、実際には意図しない相手と通信してしまう可能性があります。
まず社内端末に当該アプリが入っているかを確認し、次にバージョンを確認して更新を徹底してください。更新できない場合は担当者または管理者に一時的な利用停止を依頼し、アプリ内でのログイン状態や外部サイトへの遷移も見直すと有効です。
参照: Androidアプリ「YAMAP / ヤマップ登山地図アプリ」におけるアクセス制限不備の脆弱性
参考：公式情報・アドバイザリ
- CVE-2026-85125: NVD (NIST) / JVN検索
- JVN#69877538: JVN
上記は本記事に関連する公式セキュリティ情報です。詳細は各機関の公式サイトをご確認ください。