「動作についての改善」と書かれた更新が、鍵の修正だった

• 修正版は公表の39日前に出ていた。更新内容は「動作についての改善」だけ
• 漏れる可能性があったのはAPI連携用のアクセスIDとアクセスキー
• 鍵はすでに無効化済み。JVNが「悪用することはできません」と書いている

国土交通省の「車検証閲覧アプリ」に脆弱性があったことが、2026年10月15日に公表された。JVN#94004488、CVE-2026-75559だ。

結論から言うといま慌てる話ではない。ただ、調べていて別のことが面白かったので、そこを書く。

まず、何が起きていたか

JVNの説明はこうなっている。

国土交通省が提供する「車検証閲覧アプリ」には、車検証を扱う事業者向けに車検証情報を提供するための、API連携機能が実装されています。このAPI連携の仕様において、次の脆弱性が存在します。

分類は「送信データへの機微な情報の挿入」（CWE-201）。漏れる可能性があったのはAPI連携用のアクセスIDとアクセスキーだとされている。

対象はAndroid版とiOS版の ver.6.2.0 およびそれ以前。PC版は入っていない。

「実装」ではなく「仕様」と書いてある

ここは読み飛ばしやすいが、意味が違う。

• 実装の不具合 — 書き間違い。直せば終わる
• 仕様の問題 — 設計がそうなっていた。決め方から直す必要がある

JVNは「API連携の仕様において」と書いている。つまりそういう作りだったということになる。

深刻度と、いまの状態

そしてJVNは、対策の欄ではっきり書いている。

開発者はAPI利用事業者に対して新しいアクセスIDおよびアクセスキーを発行するとともに、漏えいする可能性があるアクセスIDおよびアクセスキーを無効化しています。そのため、本脆弱性を悪用することはできません。

鍵を作り替えて、古いほうを止めてある。ここまで書いてくれる公表は珍しい。読む側としてはありがたい。

気になって、修正版の日付を調べた

JVNは「最新版へアップデートしてください」と書いている。では最新版はいつ出たのか。

国土交通省の特設サイトに、答えがあった。2026年9月7日の告知だ。

＜リリース後のバージョン＞
iOS版：6.2.0 ⇒ 7.0.0
Android版：6.2.0 ⇒ 7.0.0
PC版：3.2.0（変更なし）

JVNが対象としたのは「6.2.0およびそれ以前」。その次に出たのが 7.0.0 だ。

念のためApp Storeの公開記録も確認した。7.0.0 の公開日は2026年9月6日（日本時間で9月6日の夕方）になっていた。

つまり修正版は、公表の39日前に出ていた。

更新内容に何と書かれていたか

ここが、今回いちばん覚えておきたい点だった。国交省の告知にある更新内容は、これだけだ。

＜主なアップデート内容＞
①アプリの動作についての改善（iOS版・Android版）

App Store側の説明も同じだった。「以下の更新を実施いたしました。・アプリの動作についての改善」。

セキュリティという言葉はどこにも出てこない。鍵のことも、API連携のことも書かれていない。

なぜ書かないのか

隠していたと決めつける話ではないと思う。順番に理由がある。

1. 直った人が増えるまで、手口を書けない。先に公表すると、更新していない人が狙われる
2. 日本の届出の仕組みがそうなっている。IPAに届け出て、JPCERT/CCが開発者と調整し、対策ができてから公表する
3. 事業者に新しい鍵を配る時間が必要だった

今回はその流れがきちんと動いている。先に直し、鍵を替え、古い鍵を止めて、それから公表した。

だから公表の時点で危険は小さい。脆弱性の公表が増えている話を前に書いたが、公表された時点では多くが対策済みという点も同じだ。数が増えること自体は、悪いこととは限らない。

読む側として引ける教訓

単純だが、効く。

「動作についての改善」と書かれた地味な更新ほど、入れておく。中身が書かれていないことがある。

今回は強制アップデートになっていた（8月24日に予告されていた）ので、使っている人はすでに 7.0.0 になっている可能性が高い。念のため確認するなら、ストアでバージョンを見るだけでいい。

作る側として：鍵をアプリに入れるとバレる

CWE-201は、名前のとおり「送るデータに、送る必要のない機微な情報が入っている」という分類だ。

そしてアプリの鍵の話は、避けようがない原則に行き着く。

アプリは利用者の端末で動く

だから、こうなる。

• 通信の中身は見られる。端末の持ち主なら、何を送っているか確認できる
• アプリの中身も見られる。埋め込んだ文字列は取り出せる
• つまり、アプリに置いた秘密は秘密ではない

これは腕の問題ではない。置き場所の問題だ。

ではどこに置くか

1. 鍵はサーバーに置く。アプリは自分のサーバーを呼び、サーバーが外のAPIを呼ぶ
2. アプリに渡すのは利用者ごとの、期限付きの通行証にする。漏れても範囲と時間が限られる
3. すぐ止められる形にしておく。今回、鍵を無効化できたから被害が止まった

3番目は実際に効いている。止められる作りだったことが、そのまま結果になった。

置き場所の話は、今月すでに2回出てきた。暗号化していたのに読まれた件は鍵がデータと同じ場所にあった。183万件が出た件は盗まれたものが鍵だった。

守りたいものと鍵を、同じところに置かない。今月の3件で共通しているのはそこだけだ。

まとめ

• JVN#94004488 / CVE-2026-75559。2026年10月15日公表
• 対象はAndroid版・iOS版の ver.6.2.0 およびそれ以前。PC版は対象外
• 漏れる可能性があったのはAPI連携用のアクセスIDとアクセスキー
• JVNは「仕様において」と書いている。実装の書き間違いではない
• 鍵は作り替えて無効化済み。「悪用することはできません」と明記
• 修正版 7.0.0 は9月6日公開。公表の39日前に出ていた
• その更新内容は「アプリの動作についての改善」だけだった
• 作る側の結論は1つ。鍵をアプリに入れない

出典

• JVN#94004488「『車検証閲覧アプリ』における送信データへの機微な情報の挿入の脆弱性」（公開日2026年10月15日。対象バージョン、CWE-201、CVSS値、鍵の無効化、報告者）
• 電子車検証特設サイト「車検証閲覧アプリ（iOS版・Android版）最新バージョンリリースのお知らせ」（2026年9月7日。6.2.0から7.0.0へ、更新内容、強制アップデートの記載）
• 7.0.0 の公開日と更新内容の文面は、筆者がApp Storeの公開情報（iTunes Search API）で2026年10月20日に確認した（公開日2026年9月6日）

本記事は2026年10月20日時点の公表内容に基づく。鍵の無効化はJVNの記載による。最新の情報はJVNと国土交通省の告知で確認すること。本記事は法的な助言ではない。