証券アプリ「HYPER SBI 2」インストーラにDLL読込みの脆弱性、CVE-2026-42936

「同じフォルダに置くだけ」で乗っ取れる古典的手口 #

JPCERT/CCが7月15日に公開したJVN#59875262によると、SBI証券の取引アプリ「HYPER SBI 2」のインストーラに、DLL読み込みに関する脆弱性(CVE-2026-42936、CVSS3.0で7.8)が見つかった。原因はWindowsのDLL検索順序の扱いにあり、インストーラが読み込むDLLをフルパス指定せずに探しにいくため、実行ファイルと同じフォルダに攻撃者が用意した偽DLLを仕込んでおくと、正規のDLLより先にそちらが読み込まれてしまう。いわゆる「DLLサイドローディング」で、Windowsアプリの脆弱性としては目新しくないが、対象が証券口座を扱うアプリという点が重い。

攻撃条件は限定的、しかし「証券口座」への近さがリスク #

攻撃には、ユーザー自身にインストーラを実行させる操作(UI:R)とローカルアクセスが前提となり、リモートから無条件に突ける脆弱性ではない。だが手口としては、「ダウンロードフォルダに偽DLLと一緒にインストーラを仕込んだzipを配布する」「共有フォルダやUSBメモリ経由で誘導する」といったフィッシング的な組み合わせで十分成立する。成功すればインストーラを実行した権限で任意コードが実行され、証券取引アプリという性質上、認証情報や取引情報を狙った侵害につながりかねない。発見・報告はGMOサイバーセキュリティ byイエラエの松本一真氏で、脆弱性情報早期警戒パートナーシップの枠組みで開発元と調整済みだ。

「地味な脆弱性」ほど見過ごされる #

DLLサイドローディングは何年も前から知られる手口だが、対策が「フルパス指定でDLLを読む」という基本的な実装レベルの話であるため、なくならない。金融アプリのように資産へ直結するソフトほど、こうした地味な脆弱性の修正状況を利用者側でも意識したい。