脆弱性対策情報ポータルサイト「JVN」は11月11日、フェンリル株式会社が提供するiPhone・iPad向けウェブブラウザ「Sleipnir Mobile for iPhone / iPad」と「同 Black Edition」に、不適切な証明書検証の脆弱性があると公表した。通信の途中に割り込む「中間者攻撃」によって、暗号化された通信を盗み見られるなどのおそれがある。対象はどちらも4.15.1以前の版で、通常版は5.0以降、Black Editionは4.16で修正されている。
証明書を正しく確かめない欠陥
JVNVU#93068550によると、脆弱性の分類は「不適切な証明書検証（CWE-295）」で、識別番号はCVE-2026-116081。影響を受けるのは、Sleipnir Mobile for iPhone / iPadの4.15.1以前と、Sleipnir Mobile for iPhone / iPad Black Editionの4.15.1以前の2製品だ。JVNは想定される影響として「中間者攻撃（man-in-the-middle attack）による暗号通信の盗聴などが行なわれる可能性があります」と記している。
ここでいう証明書は、ブラウザが「https」で始まるページにつなぐとき、接続先のサーバーが名乗りどおりの相手かを確かめるための電子的な身分証だ。脆弱性の種類を分類する一覧CWEを管理する米国のMITREは、CWE-295を、製品が証明書を検証しない、または誤って検証する状態と定義している。そのうえで、証明書が無効だったり悪意のあるものだったりすると、攻撃者が利用者と接続先の間の通信経路に割り込み、信頼できる相手になりすませるおそれがあると説明する。製品は悪意のあるサーバーを信頼できる相手と思い込んだまま接続したり、偽のデータを本物として受け取ったりしうるという。
ブラウザに当てはめれば、銀行や通販サイトに暗号化してつないでいるつもりでも、途中に入り込んだ第三者が通信の中身を読める状態になりうる。ただしJVNは、悪用の手口や欠陥の詳しい中身を公表していない。
深刻度は低め、攻撃には割り込める立場が必要
JVNは深刻度を、共通脆弱性評価システム（CVSS）の2つの版で示した。新しいCVSS v4.0の基本値は2.3、従来のv3.1では4.2だった。CVSSを定める国際団体FIRSTの仕様書は、0.1〜3.9を「Low（低）」、4.0〜6.9を「Medium（中）」に区分しており、v4.0では「低」、v3.1では「中」の水準になる。
| 項目 | 内容 |
|---|---|
| 対象 | Sleipnir Mobile for iPhone / iPad 4.15.1以前、同 Black Edition 4.15.1以前 |
| 脆弱性の種類 | 不適切な証明書検証（CWE-295） |
| CVSS v4.0 基本値 | 2.3 |
| CVSS v3.1 基本値 | 4.2 |
| 識別番号 | CVE-2026-116081 |
| 想定される影響 | 中間者攻撃による暗号通信の盗聴など |
| 修正版 | 通常版は5.0以降、Black Editionは4.16 |
出典: JVNVU#93068550、App Store「Sleipnir Mobile」「Sleipnir Mobile Black Edition」
v4.0の評価の内訳を見ると、攻撃はネットワーク経由で可能で、権限は要らない。一方で「攻撃の前提条件」は「Present（あり）」とされた。FIRSTの仕様書は、この値に当たる例として、攻撃者が標的と接続先の間の論理的な通信経路に自ら入り込まなければならない場合を挙げている。利用者の関与は「Passive（受動的）」で、仕様書は、信頼できない、あるいは乗っ取られたネットワーク上で通信するアプリを使うことを例に示す。利用者が何か特別な操作をしなくても、そうした回線でブラウザを使うだけで条件がそろいうるという意味だ。
影響の範囲は、情報の漏えい（機密性）と書き換え（完全性）がいずれも「低」、サービスの停止（可用性）は「なし」とされた。端末そのものを乗っ取られる種類の欠陥ではなく、被害は通信の中身に限られるという評価になる。
修正版は通常版が先行、Black Editionは10月に
修正の時期は製品によって大きく異なる。App Storeのバージョン履歴によると、通常版のSleipnir Mobileが5.0を公開したのは2025年10月15日だった。この版の説明は、スクラップブック機能の追加やデザインの刷新、iOS 26の外観への対応を挙げており、証明書の扱いには触れていない。JVNは5.0以降を修正版としており、修正版の配布からJVNでの公表まで1年あまりが空いたことになる。通常版はその後も更新が続き、App Storeの現行版は5.1.1で、iOS 18.6以降を必要とする。
Black Editionは、4.15.1（2025年7月2日）のあと1年以上更新が無く、JVNが修正版とする4.16は今年10月26日に出た。JVNの公表の16日前にあたる。App Storeに載る4.16の更新内容は「証明書の確認精度を向上」「信頼出来ない認証局の証明書を用いた接続先の視認性を改善」の2点と、その他の軽微な修正だ。その後に出た4.16.1は、Googleで検索できない問題を直した版だ。
Black EditionのApp Storeの説明文には「今後、バージョン4系のアップデートの予定はありません。iOSの仕様変更などの要因により、予告なく提供を停止することがあります」との注記がある。今回は4系のまま4.16で修正が出た形だ。JVNは対策として最新版への更新を求めたうえで、「開発者は引き続きセキュリティ機能強化を予定しているとのこと」と付け加えている。
開発元がJPCERT/CCに報告、Android版に続く公表
JVNによると、この脆弱性は、製品利用者への周知を目的に開発者がJPCERTコーディネーションセンター（JPCERT/CC）に報告し、JPCERT/CCが開発者との調整を行った。JVNは、JPCERT/CCと情報処理推進機構（IPA）が共同で運営する国内向けの脆弱性情報の公開サイトだ。今回の公表は通常版・Black Editionとも修正版の配布の後だった。フェンリルのニュース一覧には、11月15日時点でiPhone・iPad版の脆弱性に関する告知は載っていない。
同じSleipnir Mobileでは、10月27日にもJVNがAndroid版の別の脆弱性を公表している。本紙はスマホ用ブラウザ「Sleipnir Mobile」に欠陥 偽のアドレスバーを表示されるおそれで報じた。全画面表示を悪用して偽のアドレスバーを表示されるもので、識別番号も種類も今回とは異なる。今月は、ホームルーターの脆弱性を扱ったソフトバンクのホームルーター「Airターミナル6」に脆弱性 修正版は自動で適用のように、修正が自動で行き渡る製品もあった。スマートフォンのアプリは、自動更新を切っていれば利用者が自分で更新するまで古い版が残る。
フェンリルの沿革によると、同社は2005年に設立された。2010年12月に「Sleipnir Mobile for iPhone」を、2011年9月に「Sleipnir Mobile for Android」を発表し、2025年10月にSleipnir Mobileを「11年ぶりに大型アップデート」した。通常版の5.0がこの大型更新にあたる。
利用者が取るべき対策は、アプリを修正版に更新することだ。JVNは「開発者が提供する情報をもとに、最新版へアップデートしてください」としている。通常版は5.0以降、Black Editionは4.16以降であれば修正済みになる。版は、iPhoneやiPadのApp Storeで各アプリのページを開き、バージョン履歴で確かめられる。