FeliCa脆弱性、JVNがようやく公表 深刻度「高」、物理アクセスが必要

IPAとJPCERT/CCが共同運営する脆弱性対策情報ポータル「JVN」は7月21日、ソニーの非接触ICカード技術「FeliCa」の一部ICチップに深刻度「高」の脆弱性（CVE-2026-59776）が発見されたと公表した。

2025年7月24日にアンノウン・テクノロジーズの切敷裕大氏がIPAに届け出た後、同年8月28日に共同通信が報じて大きな騒ぎとなった脆弱性が、約1年を経てようやく公表された。当時は正式公開前の報道先行が問題視され、経済産業省などが脆弱性情報の取り扱いに関する異例の要請を出す事態に発展していた。

JVNの発表によると、脆弱性の深刻度を示すCVSS v4.0のスコアは7.0、CVSS v3.0は6.8（いずれも10点満点中）。攻撃には対象となるカードなどへの物理的なアクセスが必要と評価されており、ネット経由での遠隔攻撃は不可能だ。

対象は2017年以前に出荷された一部のICチップ。暗号処理に必要な処理が欠如しており、特定の操作によりチップ内データの読み取りや改ざんが可能になるという。

攻撃には物理アクセスが前提（攻撃元区分：物理）で、複雑性は「低」。JVNはサービスシステム側で実施するワークアラウンドを対策として案内している。

JVNはサービス事業者に対し、ソニーが提供する対策ガイドラインや技術文書に従ってシステム側で影響確認と対策を実施するよう求めた。利用者向けには、カードの盗難やスキミング防止を呼びかけている。

ソニーも同日付でお知らせページを更新したが、報告からJVNでの情報公開まで約1年を要した理由は公表されていない。