脆弱性対策情報ポータルサイト「JVN」は10月27日、フェンリル株式会社が提供するAndroid向けウェブブラウザ「Sleipnir Mobile for Android」に、偽のアドレスバーなどを表示される脆弱性があると公表した。細工されたウェブページを開くと、フィッシングの被害にあうおそれがある。対象は3.9.0より前の版。同社は10月15日に修正版の3.9.0を公開しており、JVNは最新版への更新を求めている。
全画面表示でアドレスバーを偽装される
JVN#90463048によると、脆弱性はブラウザの画面表示（ユーザーインターフェース）にある。分類は「CWE-451」で、JVNは「ユーザーインターフェースにおいて偽のアドレスバーなどを表示される」と説明している。識別番号はCVE-2026-109434。想定される影響として、当該アプリで細工されたウェブページにアクセスすると「フィッシングの被害にあう可能性があります」と記している。
アドレスバーは、いま開いているページのURLを示す欄だ。利用者は、ここに出るドメイン名を見て、銀行や通販サイトの本物のページかどうかを確かめる。この欄が偽物に置き換わると、見た目は正規のドメインでも、実際には攻撃者のページを開いていることになる。そこでIDやパスワード、カード番号を入力すれば、そのまま相手に渡る。
フェンリルが10月15日に出した3.9.0の告知は、手口を具体的に書いている。悪意のあるウェブサイトでは「全画面表示機能を悪用してアドレスバーを偽装する手口（UI Spoofing）が懸念されています」という。全画面表示にすると、ブラウザが本来出しているアドレスバーが画面から消える。その空いた場所に、ページ側が本物そっくりのアドレスバーを描けば、利用者には見分けがつきにくい。
同社は対策として、全画面表示に切り替わる際に、アクセス中のドメイン名と全画面表示の終わらせ方を画面の下部に表示する仕様に改めた。告知は「意図しないドメインの偽装に気付きやすくなり、安全性が大幅に向上しました」としている。3.9.0の変更点には、この改善のほか、軽微な不具合の修正と安定性の向上が挙がっている。
深刻度は「中」、利用者の操作が前提
JVNは深刻度を共通脆弱性評価システム（CVSS）の2つの版で示している。新しい版のCVSS v4.0で基本値5.1、従来のv3.0で4.3だった。CVSSを定める国際団体FIRSTの仕様書は、4.0〜6.9を「Medium（中）」に区分しており、どちらの値もこの範囲に入る。
| 項目 | 内容 |
|---|---|
| 対象 | Sleipnir Mobile for Android 3.9.0より前の版 |
| 脆弱性の種類 | 偽のアドレスバーなどを表示される（CWE-451） |
| CVSS v4.0 基本値 | 5.1 |
| CVSS v3.0 基本値 | 4.3 |
| 識別番号 | CVE-2026-109434 |
| 想定される影響 | 細工されたページを開くとフィッシングの被害にあうおそれ |
| 対策 | 3.9.0以降へ更新（10月15日公開） |
出典: JVN#90463048、フェンリル株式会社「Sleipnir Mobile for Android 3.9.0 をリリースしました」
v4.0の評価の内訳を見ると、攻撃はネットワーク経由で可能で、特別な条件や権限は要らない。一方で「利用者の関与」は「Active（能動的）」とされた。FIRSTの仕様書は、この値を、標的となる利用者が意識して特定の操作をしなければ攻撃が成り立たない場合に充てると定めている。今回であれば、利用者が細工されたページを開き、偽の表示を信じて情報を入力するまでの操作がそれに当たる。
影響の範囲は、情報の書き換え（完全性）だけが「低」とされ、情報の漏えい（機密性）とサービスの停止（可用性）は「なし」だった。アプリ自体が乗っ取られたり、端末内のデータを直接抜き取られたりする種類の欠陥ではない。被害は、利用者が偽の表示にだまされて自ら情報を入力したときに生じる。
画面の「見せ方」を突く脆弱性
CWE（共通脆弱性タイプ一覧）は、米国のMITREが管理する、脆弱性の種類の分類表だ。CWE-451は「重要な情報の画面上での誤表示」にあたる。MITREは、画面が重要な情報を利用者に正しく示さず、その情報や出どころを隠されたり偽装されたりする状態と定義し、「フィッシング攻撃の一部となることが多い」と説明している。
MITREはこの種類の現れ方を、誤った表示（Incorrect indicator）、重ね表示（Overlay）、アイコンの操作、表示の切り詰め（Visual truncation）などに分けている。過去の事例としては、ウェブブラウザのアドレスバーに誤った情報を表示させるものや、URL中の特殊な文字で本当のドメイン名をアドレスバーから隠すものを挙げている。プログラムの処理そのものが壊れるのではなく、利用者が画面を見て下す判断を誤らせる点が、この種類の特徴だ。
本紙は、10月28日に国交省の電子納品検査ソフトに脆弱性 港湾・空港工事の受注者向け、更新を呼びかけを報じた。業務用ソフトと違い、今回のブラウザは個人が自分の端末で使うアプリで、更新するかどうかは利用者一人ひとりの手に委ねられる。
研究者が開発元に報告、国産ブラウザは今月も更新
JVNによると、この脆弱性は、報告者のFanda Dwi Aprilianto氏が製品の開発元に直接報告し、開発元との調整を経て、利用者への周知を目的にJVNで公表した。フェンリルの3.9.0の告知も、同氏から全画面表示機能に潜んでいたUI Spoofingの脆弱性の報告を受けたとして、謝辞を載せている。修正版の公開（10月15日）から、JVNでの公表（10月27日）までは12日あった。
JVNは、JPCERTコーディネーションセンター（JPCERT/CC）と情報処理推進機構（IPA）が共同で運営する、国内向けの脆弱性情報の公開サイトだ。今回は開発元の修正版の公開が、JVNでの公表に先行した。JVNが対象として挙げたのはAndroid版で、同じ名前のiPhone・iPad版については記載が無い。
フェンリルの沿革によると、同社は2005年6月に設立された。パソコン向けブラウザ「Sleipnir」を手がけ、2010年12月にiPhone向けの「Sleipnir Mobile for iPhone」を、2011年9月に「Sleipnir Mobile for Android」を発表した。同社は、画面下部に置いたタブバーや、スワイプやフリックによる多くのジェスチャー操作を特徴に挙げている。2025年10月には「Sleipnir Mobileを11年ぶりに大型アップデート」したと沿革に記している。
Android版は今月に入っても更新が続いている。10月6日公開の3.8.6では、設定画面からプロファイルを管理する機能（Android 9以降）や、「トップバーを下に表示」する選択肢を加え、一部のサイトでカメラやマイクが機能しない問題などを直した。その9日後に出たのが、今回の脆弱性を修正した3.9.0だった。
利用者が取るべき対策は、アプリを3.9.0以降に更新することだ。JVNは「開発者が提供する情報をもとに、最新版へアップデートしてください」としている。フェンリルは告知で、Google Playでの配信を案内している。更新後は、ページが全画面表示に切り替わると、開いているサイトのドメイン名と全画面表示の終わらせ方が画面の下部に出る。表示されたドメイン名が、開いたつもりのサイトと違えば、偽装を疑う手がかりになる。