FeliCaの一部ICチップの脆弱性をJVNが発表、ソニーは「引き続き安心してご利用ください」

　ソニーが2017年以前に出荷した一部のFeliCa ICチップに脆弱性があるとして、脆弱性情報ポータルサイトJVN（Japan Vulnerability Notes）が7月21日に情報を公開した。ソニーも本件に関する情報を更新している。

　このFeliCaの脆弱性に関しては、2025年8月に共同通信が報道したが、脆弱性関連情報を適切に取り扱うための指針である「情報セキュリティ早期警戒パートナーシップガイドライン」に則した情報開示でないとして問題になり、ソニーが緊急に情報を公開したり、経済産業省らが脆弱性情報の取り扱いに関する「お願い」を発信するなどしていた。今回のJVNにおける情報公開は、同ガイドラインに基づいて行われたものとなる。

　情報が公開された脆弱性は、暗号処理における必要な処理の欠如（CVE-2026-59776）。2017年以前に出荷された一部のFeliCa ICチップが影響を受け、暗号処理プロセスにおいて特定の操作を行うことにより、本来のセキュリティ強度が低下し、ICチップ内のデータの読み取りや改ざんが行われるおそれがある。CVSS v4.0のスコアは7.0、CVSS v3.0のスコアは6.8。

　JVNでは対策として、サービス事業者向けには、開発者が提供する対策ガイドライン、および開発者のウェブサイトに記載されている各種技術文書にしたがって、サービスシステムでの影響確認および対策を実施するようにとしている。また、利用者に向けては、所有しているICカードが盗難されたりスキミングされたりしないように、適切な管理を行うようにとしている。

　開発者であるソニーでは、指摘を受けて脆弱性の存在を確認した後、情報セキュリティ早期警戒パートナーシップの枠組みの中で関係事業者や機関との連携により、FeliCa ICチップを利用する関連事業者向けに対策ガイドラインを発行する、リスクアセスメントとセキュリティ向上のための対策を進めるなどの取り組みを行っているとしている。そして、「ご関係の皆様におかれましては、関連事業者からの情報を踏まえ引き続き安心してご利用ください」とアナウンスしている。