--- title: "Sleipnir Mobile for Android の全画面表示で偽のアドレスバーを表示され、フィッシングに遭う恐れ（CVE-2026-109434・3.9.0 より前・3.9.0 で修正）" url: https://n-t-p.io/worldsecurity/articles/fenrir-sleipnir-mobile-android-cve-2026-109434-fullscreen-fake-address-bar lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 中 cve: CVE-2026-109434 --- # Sleipnir Mobile for Android の全画面表示で偽のアドレスバーを表示され、フィッシングに遭う恐れ（CVE-2026-109434・3.9.0 より前・3.9.0 で修正） > **TL;DR:** Sleipnir Mobile for Android 3.9.0 より前で、細工された Web ページを開くと偽のアドレスバーを表示され、フィッシングに遭う恐れ（CVE-2026-109434・CVSS v3.0 4.3・JVN#90463048）。利用者の操作が必要。3.9.0 で修正。 **要点** - JVN#90463048（2026-10-27 公開）: Sleipnir Mobile for Android 3.9.0 より前が、細工された Web ページで偽のアドレスバーなどを表示され、フィッシングの被害にあう恐れ（CVE-2026-109434・CWE-451）。 - NVD の説明では、全画面表示への切り替えで常時の通知や信頼できるサイトの表示が出ず、1 回のタップで偽のアドレスバーを描ける。利用者の操作が必要（UI:R）。 - 評価は CVSS v3.0 で 4.3（v4.0 で 5.1）。severity 案は medium。NVD 自身の評価は未実施（Deferred）。EPSS 0.0030、CISA KEV 掲載なし。 - 修正は 3.9.0。回避策の記載はなく、全画面表示のページで認証情報を入力しないことが当面の注意。 - 悪用の有無、具体的な細工の手順、他の OS 版への影響、回避策は未確認。本稿は公開情報の読み取りで、再現はしていない。 フェンリルの **Sleipnir Mobile for Android** に、画面表示の偽装の脆弱性（**CVE-2026-109434**）が公表されました。細工された Web ページを開くと、本物に見せかけた**偽のアドレスバー**を表示され、偽のログイン画面などで情報を盗まれる恐れがあります。評価は CVSS v3.0 で **4.3**（v4.0 で 5.1）です。**3.9.0 で修正**されています。JPCERT/CC は **JVN#90463048** として 2026-10-27 に公開しました。 ## 内容 JVN は「ユーザーインターフェースにおいて偽のアドレスバーなどを表示される」脆弱性（CWE-451）と説明し、細工された Web ページへアクセスするとフィッシングの被害にあう可能性があるとしています。NVD の説明（登録元は VulnCheck）によると、Web ページが全画面表示（Fullscreen API）に入るとき、アプリが常時の通知や信頼できるサイトの表示を出さないため、攻撃者が信頼できるサイトに見える偽のアドレスバーを描けるとされています。利用者が 1 回タップするだけで成立し、偽のログイン・更新・支払いページによる認証情報の窃取、マルウェアの配布、詐欺につながる恐れがあります。利用者の操作が必要です（UI:R）。具体的な細工の手順は JVN には書かれておらず、本稿は公開情報を読んだだけで、再現はしていません。 ## 影響を受ける範囲 - **Sleipnir Mobile for Android 3.9.0 より前のバージョン** - 他の OS 向けの Sleipnir や PC 版への影響は、JVN に記載がありません（未確認）。 ## 評価 | 指標 | 値 | |---|---| | CVSS v3.0（JVN） | **4.3** `AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N` | | CVSS v4.0（JVN・NVD 登録元 VulnCheck） | 5.1 `AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N` | | CWE | CWE-451（重要な情報の画面表示の偽装） | | EPSS（FIRST・11/6 時点） | 0.0030（パーセンタイル 0.231） | | CISA KEV | 掲載なし（11/7 確認） | - NVD は 2026-10-19 に登録しましたが、確認時点では状態が「Deferred」（NVD 自身の評価は未実施）です。 - 認証は不要ですが、利用者のタップが必要で、被害の中心は偽画面による誘導です。当サイトの基準では **medium** を案とします。 ## 修正と回避策 - 修正: **Sleipnir Mobile for Android 3.9.0**（フェンリルが 2026-10-15 に公開と案内）。Google Play などから最新版へ更新します。 - 回避策: JVN・開発元の案内に記載なし（未確認）。更新までは、不審な Web ページで全画面表示になったときにアドレスバーを信用せず、ID やパスワード、カード情報を入力しないようにします。 ## 利用者が考えられること 1. Sleipnir Mobile for Android のバージョンを確認し、3.9.0 より前なら更新します。 2. 全画面表示になったページで、ログインや支払いを求められたら入力せず、いったんページを閉じて、ブックマークなどから正規のサイトを開き直します。 3. 心当たりのないページで認証情報を入力してしまったら、そのサービスのパスワードを変更します。 ## 未確認の点 - 悪用の有無（CISA KEV に掲載なし。JVN にも悪用の記載なし）。 - 具体的な細工の手順、他の OS 版・PC 版への影響、回避策、NVD 自身の評価。 - JVN は、開発元が調整後に JPCERT/CC へ通知して公表に至ったとしています。報告者の個人名は本稿に載せていません。 ## 出典 - [JVN#90463048 Sleipnir Mobile for Androidのユーザーインターフェースにおいて偽のアドレスバーなどを表示される脆弱性](https://jvn.jp/jp/JVN90463048/) — JPCERT/CC（JVN） - [Sleipnir Mobile for Android 3.9.0 をリリースしました](https://www.fenrir-inc.com/jp/news/2026/10/15/sleipnir-mobile-for-android-3-9-0/) — フェンリル株式会社 - [NVD CVE-2026-109434](https://nvd.nist.gov/vuln/detail/CVE-2026-109434) — NIST NVD - [FIRST EPSS CVE-2026-109434](https://api.first.org/data/v1/epss?cve=CVE-2026-109434) — FIRST - [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/fenrir-sleipnir-mobile-android-cve-2026-109434-fullscreen-fake-address-bar