Microsoft UFOのMobile MCPにCVE-2026-73296　認証なしでAndroid端末を遠隔操作されるおそれ

Microsoftが公開するAIエージェント向け自動化フレームワーク「UFO」のMobile MCPサーバーに、認証なしでAndroid端末の情報取得や遠隔操作につながる脆弱性CVE-2026-73296が明らかになりました。

MicrosoftのUFO公式GitHub Security Advisoryによると、影響を受けるのはv3.0.7以下です。CVSS v3.1は9.4（Critical）で、CWE-306「重要機能に対する認証欠如」とCWE-862「認可欠如」に分類されています。

問題は、Android端末を操作するためのMobile MCPデータ収集サーバーとMobile MCPアクションサーバーが、認証・認可なしで利用できる状態だったことです。

これらのMCPサーバーをリモートアクセス可能なインターフェースへ公開した構成では、ネットワークから到達可能な第三者が認証情報なしでMCPセッションを開始し、ADBに接続されたAndroid端末のスクリーンショット、UI階層、端末情報、インストール済みアプリ情報などを取得できる可能性があります。

さらに、画面タップ、スワイプ、文字入力、キー操作、アプリ起動、画面上のコントロール操作なども実行できる可能性があります。

ただし、デフォルトではMobile MCPサーバーはlocalhostへバインドされるため、標準設定のまま外部から直接到達できるわけではありません。影響が大きいのは、リモート利用のため非ループバックアドレスへ公開している環境です。

MicrosoftのUFOリポジトリでは、Bearer認証を追加する修正コミットが公開され、v3.0.8もリリースされています。一方、9月3日時点でGitHub Security Advisoryの画面には「Patched versions: None」と表示が残っており、一次情報間で表示の更新状況に差があります。修正コミットとリリース状況を踏まえると、v3.0.8以降への更新を優先すべきです。

CVE-2026-73296のサマリー

• 【確認済み】対象製品はMicrosoftのオープンソース自動化フレームワーク「UFO」です。
• 【確認済み】CVE番号はCVE-2026-73296です。
• 【確認済み】影響対象はUFO v3.0.7以下です。
• 【確認済み】CVSS v3.1は9.4（Critical）です。
• 【確認済み】CWE-306とCWE-862に分類されています。
• 【確認済み】Mobile MCPデータ収集サーバーとMobile MCPアクションサーバーに認証・認可がありませんでした。
• 【確認済み】リモート公開された環境では、認証なしのネットワーククライアントがMCPツールを呼び出せる可能性があります。
• 【確認済み】スクリーンショット、UI階層、端末情報、インストール済みアプリ情報などが取得される可能性があります。
• 【確認済み】タップ、スワイプ、文字入力、キー操作、アプリ起動などを遠隔から実行される可能性があります。
• 【確認済み】攻撃にUFO APIキー、Galaxy APIキー、既存のUFOセッション、ユーザー承認は不要とされています。
• 【確認済み】デフォルトのCLI設定はlocalhostバインドで、標準状態ではネットワーク露出が限定されます。
• 【確認済み】Microsoftの修正コミットではBearer認証を追加しています。
• 【確認済み】UFO v3.0.8が2026年8月10日に公開されています。
• 【注意】GitHub Security Advisory上は9月3日時点でも「Patched versions: None」と表示されており、修正コミット・リリース情報との表示差があります。
• 【確認できず】実際の攻撃で悪用されているというMicrosoftの公式発表は確認できませんでした。
• 【確認済み】PoCはGitHub Security Advisoryに掲載されていますが、本記事では再現手順や攻撃コードは扱いません。

項目	内容
CVE	CVE-2026-73296
製品	Microsoft UFO
対象機能	Mobile MCP
影響バージョン	v3.0.7以下
CVSS v3.1	9.4（Critical）
CWE	CWE-306、CWE-862
攻撃条件	Mobile MCPサーバーへネットワーク到達可能であること
認証	不要
ユーザー操作	不要
主な影響	Android画面・端末情報取得、UI操作、アプリ起動など
デフォルト公開範囲	localhost
修正	Bearer認証を追加する修正コミット公開
最新確認版	v3.0.8
PoC	Security Advisory上で公開
実悪用	公式確認なし
CISA KEV	9月3日時点で掲載を確認できませんでした

Microsoft UFOとは

UFOは、MicrosoftがGitHubで公開しているAIエージェント型の自動化フレームワークです。

Windowsアプリケーションやモバイル端末など、複数のデバイスやインターフェースをAIエージェントから操作するための仕組みを提供しています。

その中でMobile MCPは、Android端末に対する情報取得や操作をModel Context Protocol（MCP）経由で提供するコンポーネントです。

Mobile MCPは大きく、

• 端末情報や画面情報を取得するデータ収集サーバー
• 実際に端末操作を実行するアクションサーバー

に分かれています。

これらのバックエンドではADBが使用され、AIエージェントからAndroid端末の状態確認や操作を実行できる設計です。

Mobile MCPサーバーに認証がなかった

CVE-2026-73296の根本原因は、Mobile MCPのネットワーク境界に認証・認可が実装されていなかったことです。

MicrosoftのSecurity Advisoryによると、対象実装ではMobile MCPのHTTPサーバーが認証プロバイダーやリクエスト単位の認可チェックなしで生成されていました。

そのため、サービスへネットワーク到達できるクライアントであれば、認証情報なしでMCPセッションを開始し、提供されるツールを呼び出せる状態でした。

通常、Android端末を操作する機能は明確に許可されたUFOクライアントだけが利用できるべきです。

しかし脆弱な実装では、その信頼境界がMCPサーバー側で強制されていませんでした。

Android端末の画面やUI情報を取得される可能性

Mobile MCPのデータ収集側では、ADBを通じてAndroid端末のさまざまな情報を取得できます。

Security Advisoryでは、認証なしの第三者が取得できる可能性のある情報として、

• 現在表示されている画面
• UI階層
• 画面上のUIコンテンツ
• Androidバージョン
• 端末モデル
• 画面解像度
• バッテリー情報
• インストール済みアプリ情報
• 現在のアプリ画面に存在するコントロール情報

などが挙げられています。

画面にメール、メッセージ、認証コード、社内情報、個人情報などが表示されていれば、それらがスクリーンショットやUI情報を通じて露出する可能性があります。

このためCVSSでは機密性への影響が「High」と評価されています。

認証なしでAndroid端末を操作できる可能性

影響は情報取得だけではありません。

Mobile MCPのアクションサーバーでは、Android端末への入力操作を実行できます。

脆弱な状態では、ネットワークから到達できる第三者が、

• 画面上のタップ
• スワイプ
• 文字入力
• Androidキー操作
• アプリ起動
• UIコントロールのクリック

などを実行できる可能性があります。

実際にどこまで操作できるかは、端末のロック状態やADBに与えられた権限、現在起動しているアプリなどに左右されます。

そのため、「Android端末を完全に乗っ取れる」と一律に表現するよりも、「ADBで許可された範囲のUI操作や情報取得を認証なしで実行される可能性がある」と整理するのが適切です。

UFOやGalaxyのAPIキーも不要

今回の脆弱性では、攻撃者がUFO側の有効な認証情報をあらかじめ取得する必要はありません。

Security Advisoryでは、攻撃成立に以下は不要とされています。

• UFO APIキー
• Galaxy APIキー
• AIP登録
• 認証済みUFOセッション
• モデル側の協力
• ブラウザ操作
• ユーザー承認
• 既存のエージェントタスク

つまり、AIモデルへのプロンプトインジェクションなどを経由しなくても、Mobile MCPサーバーへ直接ネットワーク到達できれば問題が成立する可能性があります。

これは「AIモデルの安全性」の問題ではなく、MCPサーバー自体のネットワーク認証設計の問題です。

デフォルトはlocalhost、すべてのUFO環境が外部公開されるわけではない

一方、今回の脆弱性を評価するうえで重要なのが、デフォルト設定です。

MicrosoftのSecurity Advisoryでは、Mobile MCPサーバーのデフォルトCLIバインド先はlocalhostと説明されています。

そのため、UFOを標準設定でローカル端末内だけで利用している場合、インターネットやLAN上の別ホストから直接アクセスできる状態ではありません。

問題が大きくなるのは、

• 別ホストから利用するため外部インターフェースへバインドしている
• LAN内の複数端末からアクセスできる
• クラウドVMや開発サーバー上で公開している
• コンテナやポートフォワードによって外部へ露出している

といった構成です。

Microsoftのドキュメントではリモート配置も想定されていたため、リモート運用そのものが非サポートだったわけではありません。

CVSS 9.4、認証・ユーザー操作ともに不要

CVE-2026-73296のCVSS v3.1は9.4です。

ベクトルは、

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

となっています。

ネットワーク経由で到達でき、攻撃複雑度は低く、事前権限やユーザー操作を必要としません。

機密性と完全性への影響がHigh、可用性への影響がLowと評価されています。

CWEは、

• CWE-306：Missing Authentication for Critical Function
• CWE-862：Missing Authorization

です。

AIエージェント固有の脆弱性というより、強力なバックエンド操作機能を持つサービスを認証なしでネットワーク公開できてしまうという、従来型のアクセス制御問題に分類できます。

MicrosoftはBearer認証を追加

Microsoft UFOリポジトリでは、この問題に対応する修正コミットが公開されています。

修正では、Mobile MCPデータ収集サーバーとアクションサーバーにBearer認証が追加されました。

認証情報は環境変数から読み込む設計となり、設定されていない場合にはサーバーを起動しない「fail closed」の動作も追加されています。

さらにドキュメントも更新され、リモート構成ではTLS、認証済みリバースプロキシ、信頼できるプライベートトンネルなどを利用するよう案内されています。

重要なのは、Bearer認証そのものは通信を暗号化しない点です。

そのため、リモート運用する場合は認証追加だけでなく、TLSなどによる通信保護も必要です。

v3.0.8が公開、一方でAdvisoryには「修正版なし」の表示

Microsoft UFOでは2026年8月10日にv3.0.8が公開されています。

また、CVE-2026-73296に対応する修正コミットもMicrosoft公式リポジトリへマージされています。

一方、9月3日時点でGitHub Security Advisoryの「Patched versions」欄には「None」と表示されています。

このため、一次情報の表示だけを見ると情報が一致していません。

ただし、v3.0.8のリリース後のソースには認証機能が追加されており、CVEレコード側でもv3.0.8で修正されたものとして整理されています。

運用上はv3.0.7以下を継続利用せず、v3.0.8以降へ更新したうえで、Mobile MCPの公開範囲と認証設定を確認するのが安全です。

PoCは公開済みだが実攻撃は確認されず

MicrosoftのGitHub Security Advisoryには、この脆弱性を確認するためのPoCが掲載されています。

ただし、PoCは実Android端末へ攻撃する内容ではなく、安全なテスト用ヘルパーへ処理が到達するか確認する形で構成されています。

本記事では再現手順やコードは掲載しません。

一方、9月3日時点でMicrosoftがCVE-2026-73296について実際の攻撃で悪用されていると発表した事実は確認できませんでした。

CISA Known Exploited Vulnerabilities Catalogへの掲載も確認できませんでした。

したがって、現時点で「実悪用中」「ゼロデイ攻撃」と表現する根拠はありません。

MCPサーバーを「AI連携用API」と軽く扱わない

今回の脆弱性は、MCPサーバーが持つ権限の大きさを示す事例です。

MCPはAIエージェントから外部ツールやデータへアクセスするためのインターフェースですが、接続先によっては、

• ファイル読み書き
• OSコマンド実行
• SaaS操作
• クラウド操作
• ブラウザ操作
• モバイル端末操作

など、強い権限を持ちます。

そのため、MCPサーバーは「AIとの連携機能」ではなく、高権限APIサーバーとして認証・認可・ネットワーク制御を設計する必要があります。

セキュリティ対策Labでは、MCPの認証、公開範囲、OAuth、シャドーMCPなどの論点を以下の記事で整理しています。

Model Context Protocol（MCP）のセキュリティリスクや対策

今回のUFOの事例は、MCPサーバーがバックエンドで強力な操作権限を持つ場合、認証欠如がそのまま端末操作へつながることを示しています。

情報システム・AI基盤管理部門への示唆

Microsoft UFOを検証・利用している環境では、まずバージョンを確認し、v3.0.7以下であればv3.0.8以降への更新を優先すべきです。

あわせて、Mobile MCPサーバーがどのインターフェースで待ち受けているかを確認する必要があります。

特に、

• localhost以外へバインドしていないか
• 8020・8021番ポートがLANやインターネットから到達可能になっていないか
• コンテナやクラウドのポート公開設定で意図せず露出していないか
• Bearer認証が有効か
• 認証情報をソースコードや設定ファイルへ直接埋め込んでいないか
• TLSまたはプライベートトンネルで通信を保護しているか
• ADB接続端末が業務用端末や実データを扱う端末ではないか

を確認する必要があります。

また、AIエージェントやMCPをPoC用途で導入する場合でも、検証環境だからという理由でネットワーク認証を省略するべきではありません。

MCPの背後にADB、OSシェル、ブラウザ、クラウドAPIなどが存在する場合、MCPサーバーへの到達は実質的にそれらの操作権限への到達を意味する可能性があります。

今回のCVE-2026-73296は、AIエージェント時代でも「サービスを外部公開するなら認証を必須にする」という基本的なセキュリティ設計が変わらないことを示す事例です。

出典

• Unauthenticated Mobile MCP access allows remote Android device control and screen disclosure – microsoft/UFO GitHub Security Advisory
• fix: Unauthenticated Mobile MCP access allows remote Android device control and screen disclosure – microsoft/UFO
• UFO v3.0.8 – microsoft/UFO
• CVE-2026-73296 – CVE.org
• Known Exploited Vulnerabilities Catalog – CISA
• Critical Microsoft UFO MCP Flaw Lets Unauthenticated Attackers Remotely Control Android Devices – CyberPress
• Model Context Protocol（MCP）のセキュリティリスクや対策 – セキュリティ対策Lab