FeliCa ICチップに暗号強度低下の脆弱性、対象は2017年以前の出荷分

何が起きた #

JVNは2026年7月21日、ソニー製の非接触ICチップ「FeliCa」の一部について暗号処理に関する脆弱性(JVN#40509781、CVE-2026-59776)を公表した。対象は2017年以前に出荷された一部のICチップ。CVSS基本値はv4.0で7.0、v3.0で6.8と、悪用時の深刻度は無視できない水準だ。ソニー公式の告知は、報告された特定の操作によって「データの読み取りや改ざんが実行される可能性がある」とだけ記し、対象チップの型番や、どの製品・サービスに搭載されているかは明かしていない。

「暗号強度の低下」が意味すること #

CWE分類はCWE-325、暗号処理に必要な手順の一部が欠落・省略される類の欠陥だ。ICカードのような組み込みチップでは、電力解析やタイミング解析などのサイドチャネル攻撃、あるいはプロトコルの特定シーケンスを突くことで、本来守られるはずの鍵情報や検証手順を迂回できてしまうケースが典型的にこの分類に入る。FeliCaは交通系ICカードや電子マネー、社員証など日本の生活インフラの随所で使われてきた技術であり、組み込みチップ側にこの種の欠陥があると影響範囲を正確に把握すること自体が難しい。

ハッカー視点で見ると #

特徴的なのは、ソニーが「これまで関連事業者向けに対策ガイドラインを発行し、リスク評価を進めてきた」とわざわざ書いている点だ。裏を返せば、この問題はJVNでの公表よりずっと前から把握され、静かに事業者側で緩和策が進められてきた可能性が高い。ハードウェアに焼き込まれた暗号処理はソフトウェアのようにパッチ一発では直せず、責任開示から公表まで数年単位のタイムラインになりやすい。エンドユーザーにできることは限られるが、「自分のICカードがいつ発行されたものか」を気にする発想自体が、組み込みセキュリティ時代には必要になってくる。