要点
- 細工したアプリを入れるだけで、Android の再起動が止まらなくなる欠陥「GhostMap」を、セキュリティ会社の Bitdefender が公表した。
- このアプリは権限を求めず、起動する必要もない。再起動してもセーフモードにしても直らない。Bitdefender が見つけた戻し方は、初期化（中のデータが消える）と、条件がそろったときだけ使える ADB での方法の2つしかない。
- 2026年11月5日の時点で修正は出ていない。実際の攻撃は確認されていないが、入れる前に止めることが唯一の守りになる。
何が起きたか
ルーマニアのセキュリティ会社 Bitdefender は2026年11月5日、Android の欠陥「GhostMap」を報告した。
Bitdefender によると、問題の根は Android 自身の作りにある。それが表に出たのは、実際に出回っていた不正なアプリを調べていたときだった。その検体は、銀行の情報をねらう不正なアプリを呼び込む役のもの（dropper）だ。2026年8月12日、Bitdefender の解析用のエミュレータ（パソコンの中で動かす仮想のスマホ）が、この検体のインストールが終わる前に止まった。検体のコードは、実行される前だった。
Android のアプリは、ZIP（複数のファイルを1つにまとめる形式）のファイルとして配られる。Android の中には ZIP を読む部品がいくつかあり、今回の欠陥にかかわるのはそのうち2つだ。この2つは、ファイルの中身の扱い方が少しずつ違う。Bitdefender によると、この違いを使うと、検査をすり抜けた「壊れたファイル」をアプリの中に入れたままにできる。Android の中心となる仕組みがこのファイルを読むと、そこで落ちる。なお、3つ目の部品は安全な読み方をしているという。
Bitdefender は、試しのアプリを作って確かめた。端末は Pixel 10、OS は Android 17、セキュリティの更新は2026年8月5日のものだ。アプリを入れると、Android の中心の仕組みが落ちては立ち上がるのをくり返した。ふつうに起動したときは110回、セーフモード（余計なアプリを止めて起動する仕組み）でも72回くり返したという。Bitdefender は、Android 10 以降のすべての版が当たるとしている。
この試しのアプリは、入れた時点で効き目が出る。利用者が開く必要はなく、権限を許すかどうかを聞く画面も出ない。中には、実行されるコードも入っていない。Bitdefender は、攻撃者ならどう使えるかも考えている。そのひとつがアイコンを使うものだ。アプリを消すときは、ふつうホーム画面や設定のアプリ一覧からそのアプリを選ぶ。ところが、アイコンに細工があると、それらの画面はアイコンを表示しようとした時点で落ちてしまう。端末は動き続けるが、アプリを消す道がふさがれる。ほかのアプリ（ファイルを管理するアプリや、Bitdefender 自身のアプリ）も落ちるという。
Bitdefender によると、Google には8月20日と8月25日に知らせた。最初は「再現できない」として閉じられた。2回目は、試しのアプリを付けて送った。Google はこの件を、今後の版で取り上げるかどうかを決める部門に渡した。セキュリティの更新で直す予定は無い、というのが2回目の返事だったという。
日本の利用者への影響
Android は日本でも多くの人が使っている。Bitdefender の言うとおり Android 10 以降のすべてが当たるなら、使われている端末のほとんどが対象になる。報告で端末の名前が出ているのは Pixel 10 だけだ。ただ、Bitdefender は古い版でも試し、Android 10 以降で再現できたとしている。最初の検体も、調べるための仮想の端末を落としていた。一方で、Samsung やシャープ、ソニーなど、ほかのメーカーの端末で試したという話は報告にない。
日本で被害が出ているかどうかは分からない。Bitdefender は、ここで挙げた攻撃の使い方はどれも、実際には見ていないとしている。最初に見つかったアプリも、インストールが失敗するだけだった。
それでも気をつけたいのは、壊れ方が重いからだ。Bitdefender は、端末を使えなくして「初期化したくなければ払え」とおどす使い方や、不正なアプリを消しにくくする使い方がありうると書いている。
今すぐやること
- アプリは Google Play など、信頼できる場所からだけ入れる。 SMS やメール、ウェブの広告で「このアプリを入れて」と言われても、知らない配布元のファイルは開かない。
- 「提供元不明のアプリ」を許す設定は、オフのままにする。 一度オンにしたなら、使い終わったら戻す。
- 写真や連絡先などの大事なデータは、こまめに控えを取る。 この欠陥で端末が止まると、多くの場合は初期化して戻すことになり、端末の中のデータは消える。
- セキュリティアプリが警告したら、その時点ですぐ消す。 Bitdefender は、警告に早く応じるよう勧めている。ダウンロードの時点で警告が出たなら、入れずにファイルを消す。入れてから警告が出たなら、消せるうちに消す。Android では、セキュリティアプリが自分の判断でインストールを止めたり、ほかのアプリを消したりはできない。最後に消す操作をするのは、人の側になる。
- 再起動がくり返して止まらなくなったら、 再起動やセーフモードでは直らないとされる。メーカーの窓口や携帯会社に相談し、初期化を考える。
背景
アプリのファイルを、わざと壊れた形にして調べる仕組みを惑わす手口は、前から使われてきた。Bitdefender は報告で、「BadPack」と呼ばれる手口を例に出している。これは、Anatsa などの銀行の情報をねらう不正なアプリが使ってきたものだ。GhostMap の発見につながった検体も、この BadPack 型の加工がされていたと Bitdefender は書いている。ただし Bitdefender は、解析をじゃまするための BadPack と、GhostMap を使った攻撃は別のものだとしている。
今回の欠陥の根は、同じファイルを2つの部品が別々に読むことにある。片方が「安全」と判断しても、もう片方は別のふうに読む。こうした「読み方のずれ」は、ソフトウェアの欠陥でよくある形だ。
Google がいつ、どの版で直すかは分かっていない。BleepingComputer は Google に修正の予定を聞いたが、記事の時点で返事はなかったという。
技術者向けの詳細
- 報告: Bitdefender Labs、Alecsandru Cătălin DAJ（Mobile Security & Forensics Unit）、2026-11-05 公開
- CVE: 報告にも報道にも、CVE の番号は書かれていない
- 対象: Bitdefender は Android 10 以降のすべての版としている。名前が出ている端末は Pixel 10 / Android 17 / セキュリティパッチレベル 2026-08-05。古い版でも Android 10 以降で再現したとしている。解析環境のエミュレータでも落ちた。ほかのメーカーの端末での検証は書かれていない
- 修正: 2026-11-05 の時点で無い。修正が入ったパッチレベルも無い。Google は、セキュリティの更新の対象外として、担当の部門に回したとされる
- 原因: かかわるのは
libziparchive（system/libziparchive）とlibandroidfw（frameworks/base/libs/androidfw）。この2つでは、ZIP の圧縮方式の値の扱いが食い違う。細工した APK はインストールのときの大きさの検査を通る。その一方で、メモリにマップされる範囲がファイル本体より大きくなる。本体の外の範囲に触れたプロセスは SIGBUS で落ちる。3つ目のZipFileROは、stored のエントリにだけ非圧縮サイズを使う、安全な側の扱いをしているという - 再起動のくり返し: Bitdefender の報告では、試しのアプリを入れた端末で
system_serverが SIGBUS で落ち、立ち上がり直すのをくり返した。ふつうの起動で110回、セーフモードで72回。問題のリソースのファイルは、再起動のたびに読み直される - 戻し方: Bitdefender が挙げているのは、初期化（端末内のデータは消える）と、限られた条件での ADB の2つだけ。ADB は、USB デバッグ（開発者向けの設定）を前もって有効にしていた端末が前提。カーネルからの完全な再起動を一度経ると、起動の早い段階で落ちるようになり、この方法は効かなくなる。それより前なら、クラッシュとクラッシュの間に問題のファイルを削除できる場合がある
- 検出: Bitdefender Mobile Security は
Android.Riskware.Ghostmap.rAとして検出する - 悪用: 再起動のくり返しなどの攻撃は、Bitdefender は実際には確認していない
- 時系列: 2026-08-12 検体で異常 → 08-20 Google に最初の報告（Won’t Fix / Not Reproducible）→ 08-25 試しのアプリ付きで再報告（セキュリティ更新の対象外）→ 11-05 公開
