Sleipnir Mobile for Android の全画面表示で偽のアドレスバーを表示され、フィッシングに遭う恐れ（CVE-2026-109434・3.9.0 より前・3.9.0 で修正）

フェンリルの Sleipnir Mobile for Android に、画面表示の偽装の脆弱性（CVE-2026-109434）が公表されました。細工された Web ページを開くと、本物に見せかけた偽のアドレスバーを表示され、偽のログイン画面などで情報を盗まれる恐れがあります。評価は CVSS v3.0 で 4.3（v4.0 で 5.1）です。3.9.0 で修正されています。JPCERT/CC は JVN#90463048 として 2026-10-27 に公開しました。

内容

JVN は「ユーザーインターフェースにおいて偽のアドレスバーなどを表示される」脆弱性（CWE-451）と説明し、細工された Web ページへアクセスするとフィッシングの被害にあう可能性があるとしています。NVD の説明（登録元は VulnCheck）によると、Web ページが全画面表示（Fullscreen API）に入るとき、アプリが常時の通知や信頼できるサイトの表示を出さないため、攻撃者が信頼できるサイトに見える偽のアドレスバーを描けるとされています。利用者が 1 回タップするだけで成立し、偽のログイン・更新・支払いページによる認証情報の窃取、マルウェアの配布、詐欺につながる恐れがあります。利用者の操作が必要です（UI:R）。具体的な細工の手順は JVN には書かれておらず、本稿は公開情報を読んだだけで、再現はしていません。

影響を受ける範囲

• Sleipnir Mobile for Android 3.9.0 より前のバージョン
• 他の OS 向けの Sleipnir や PC 版への影響は、JVN に記載がありません（未確認）。

評価

指標	値
CVSS v3.0（JVN）	4.3 AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
CVSS v4.0（JVN・NVD 登録元 VulnCheck）	5.1 AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
CWE	CWE-451（重要な情報の画面表示の偽装）
EPSS（FIRST・11/6 時点）	0.0030（パーセンタイル 0.231）
CISA KEV	掲載なし（11/7 確認）

• NVD は 2026-10-19 に登録しましたが、確認時点では状態が「Deferred」（NVD 自身の評価は未実施）です。
• 認証は不要ですが、利用者のタップが必要で、被害の中心は偽画面による誘導です。当サイトの基準では medium を案とします。

修正と回避策

• 修正: Sleipnir Mobile for Android 3.9.0（フェンリルが 2026-10-15 に公開と案内）。Google Play などから最新版へ更新します。
• 回避策: JVN・開発元の案内に記載なし（未確認）。更新までは、不審な Web ページで全画面表示になったときにアドレスバーを信用せず、ID やパスワード、カード情報を入力しないようにします。

利用者が考えられること

1. Sleipnir Mobile for Android のバージョンを確認し、3.9.0 より前なら更新します。
2. 全画面表示になったページで、ログインや支払いを求められたら入力せず、いったんページを閉じて、ブックマークなどから正規のサイトを開き直します。
3. 心当たりのないページで認証情報を入力してしまったら、そのサービスのパスワードを変更します。

未確認の点

• 悪用の有無（CISA KEV に掲載なし。JVN にも悪用の記載なし）。
• 具体的な細工の手順、他の OS 版・PC 版への影響、回避策、NVD 自身の評価。
• JVN は、開発元が調整後に JPCERT/CC へ通知して公表に至ったとしています。報告者の個人名は本稿に載せていません。