FeliCa ICチップの脆弱性がJVNで正式公表、CVE-2026-59776を採番-JCBもQUICPayでの採用と対策実施を表明|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月22日更新日時: 2026年07月22日

2025年8月に報道され話題となった、ソニーの非接触ICカード技術FeliCaの一部ICチップにおける脆弱性について、2026年7月21日、脆弱性対策情報ポータルサイトJVN(Japan Vulnerability Notes)で正式に公表され、CVE-2026-59776の識別番号が採番されました。対象は2017年以前に出荷された一部のFeliCa ICチップで、暗号処理プロセスにおいて特定の操作を行うことで本来のセキュリティ強度が低下し、ICチップ内のデータの読み取りや改ざんが行われる可能性があります。同日、クレジットカード大手のJCBも、自社の非接触決済サービスQUICPayの一部でこの対象チップを採用していることを認め、取引監視等のセキュリティ対策に加えて本件に関わる対策を進めていると表明しました。当サイトで既報の2025年8月のFeliCa脆弱性の初報から約11か月を経て、正式なCVE採番とサービス事業者による具体的な対応表明という形で、この問題が新たな局面を迎えたことになります。

サマリー

2026年7月21日、FeliCaの一部ICチップの脆弱性がJVNで正式公表され、CVE-2026-59776が採番されました
対象は、ソニーより2017年以前に出荷された一部のFeliCa ICチップです
暗号処理プロセスにおいて特定の操作を行うことにより、本来のセキュリティ強度が低下する事象が発生し、悪用された場合、ICチップ内のデータの読み取りや改ざんが行われる可能性があります
脆弱性の種別は、暗号処理における必要な処理の欠如(CWE-325)で、CVSS v4.0の基本値は7.0(CVSS v3.0では6.8)と評価されています
攻撃元区分が物理(AV:P)であることから、悪用にはICカードそのものへの物理的な接触・近接が必要とされます
この脆弱性は、情報セキュリティ早期警戒パートナーシップに基づき、アンノウン・テクノロジーズ株式会社の切敷裕大氏がIPAに報告し、JPCERT/CCがソニーとの調整を行ったものです
同日、JCBは自社の非接触決済サービスQUICPayの一部で対象チップを採用していることを公表し、従来の取引監視等の対策に加えて本件に関わる対策を進めていると表明しました
対策はソニーが提供する技術文書・ガイドラインに沿ったワークアラウンド(回避策)が中心で、サービス事業者は影響確認と対策を、利用者はカードの盗難・スキミング防止のための適切な管理を求められています

1 整理表
2 脆弱性の内容-JVNとCVEでの正式公表
3 2025年8月の初報からの経緯
4 JCBがQUICPayでの採用と対策を表明
5 対策方法-事業者と利用者それぞれの対応
6 情報システム部門への示唆
7 出典

整理表

項目	内容
JVN公表日	2026年7月21日
JVN識別番号	JVN#40509781
CVE番号	CVE-2026-59776
対象	2017年以前に出荷された一部のFeliCa ICチップ
開発元	ソニー株式会社
脆弱性の種別	暗号処理における必要な処理の欠如(CWE-325)
CVSS基本値	7.0(CVSS v4.0)、6.8(CVSS v3.0)
攻撃元区分	物理(AV:P)=カードへの物理的接触・近接が必要
想定される影響	ICチップ内のデータの読み取りや改ざん
報告者	アンノウン・テクノロジーズ株式会社切敷裕大氏(IPAへ報告、JPCERT/CCが調整)
対策	ソニーの技術文書・ガイドラインに沿ったワークアラウンドの実施
JCBの対応	QUICPayの一部で対象チップを採用、取引監視等に加え本件対策を推進

脆弱性の内容-JVNとCVEでの正式公表

今回JVNで公表された内容によれば、ソニーより2017年以前に出荷された一部のFeliCa ICチップでは、暗号処理プロセスにおいて特定の操作を行うことにより、本来のセキュリティ強度が低下する事象が発生します。脆弱性の分類としては、暗号処理における必要な処理の欠如(CWE-325)に該当し、CVE-2026-59776として識別番号が採番されました。

深刻度を示すCVSSの基本値は、最新のCVSS v4.0で7.0、従来のCVSS v3.0で6.8と評価されています。ここで注目すべきは、CVSSベクトルの攻撃元区分が物理(AV:P)とされている点です。これは、この脆弱性を悪用するには、攻撃者が対象のICカードそのものに物理的に接触、あるいは近接する必要があることを意味します。ネットワーク経由で遠隔から一斉に悪用できる種類の脆弱性ではなく、悪用には攻撃者が標的のカードを物理的に入手するか、至近距離まで近づく必要があるという性質は、この脆弱性のリスクを評価するうえで重要な前提です。想定される影響としては、悪用された場合にICチップ内のデータの読み取りや改ざんが行われる可能性があるとされています。

この脆弱性は、独立行政法人情報処理推進機構(IPA)の情報セキュリティ早期警戒パートナーシップに基づき、アンノウン・テクノロジーズ株式会社の切敷裕大氏がIPAに報告し、JPCERT/CCが開発者であるソニーとの調整を行ったうえで、今回の正式公表に至ったものです。

2025年8月の初報からの経緯

このFeliCa ICチップの脆弱性は、今回のJVN公表が突然明らかになったものではありません。当サイトで既報のとおり、2025年8月28日、ソニーは非接触ICカード技術FeliCaのICチップのうち、2017年以前に出荷された一部のICチップについて重大な脆弱性が存在することを、外部からの指摘を受ける形で公表していました。この時点で、共同通信の報道により、脆弱性を発見したのがセキュリティ企業アンノウン・テクノロジーズの切敷裕大氏らのグループであり、暗号システムを突破してFeliCaのセキュリティを管理する暗号鍵を取り出せることを確認したうえで、2025年7月にIPAを通じてソニーに報告していたことも明らかになっていました。

当時、FeliCaを利用する主要サービスのうち、JR東日本はSuica、パスモはPasmoについて、セブン・カードサービスはnanacoについて、それぞれ影響を調査中としていました。一方、NTTドコモは、おサイフケータイが搭載するモバイルFeliCaには当該脆弱性はないと発表しています。

なお、この脆弱性を巡っては、報道が公式のJVN公表に先行する形になったことを受け、当サイトで既報のとおり、経済産業省・IPA・JPCERT/CC・国家サイバー統括室が2025年9月9日、脆弱性関連情報の責任ある取り扱いを改めて要請するという一幕もありました。今回の2026年7月のJVN正式公表は、こうした開発者との調整プロセスを経て、正規の脆弱性開示手続きに沿った形で情報が整理・公開されたものと位置づけられます。

JCBがQUICPayでの採用と対策を表明

今回のJVN公表と同じ2026年7月21日、クレジットカード大手のJCBは、自社サービスへの影響と対応について公式にお知らせを公表しました。JCBによれば、2025年8月に報道され同社Webサイトでもお知らせしていた一部のFeliCa ICチップに関する情報が、本日付でJVNにおいて正式公表されたこと、あわせて開発元であるソニーのWebサイトでも当該公表に言及するお知らせが掲出されたことを説明しています。

そのうえでJCBは、この対象チップが同社の非接触決済サービスQUICPayの一部で採用されていることを明らかにしました。同社は、QUICPayについて、顧客に継続して利用してもらえるよう、従来より講じていた取引監視等の各種セキュリティ対策に加え、本件に関わる対策を進めていると表明し、顧客に心配をかけていることへのお詫びを述べています。決済サービスを提供する事業者が、自社サービスにおける当該チップの採用状況と対応方針を、JVN公表と同じタイミングで明示的に開示した点は、サービス事業者としての説明責任を果たす対応だといえます。

対策方法-事業者と利用者それぞれの対応

JVNが示す対策方法は、根本的な修正パッチの適用ではなく、ワークアラウンド(回避策)の実施が中心となります。これは、ハードウェアであるICチップの物理的な性質に起因する脆弱性であり、ソフトウェアのアップデートのように一律の修正を配布することが難しいためだと考えられます。

サービス事業者に対しては、開発者であるソニーが提供する対策ガイドライン、およびソニーのWebサイトに記載されている各種技術文書に従って、自社のサービスシステムでの影響確認および対策を実施することが求められています。JCBがQUICPayについて取引監視等の対策を進めると表明したのは、まさにこのサービス事業者側の対応にあたります。

一方、サービス利用者に対しては、所有しているICカードが盗難されたりスキミングされたりしないように、適切な管理を行うことが呼びかけられています。前述のとおり、この脆弱性の悪用には攻撃者がカードに物理的に接触・近接する必要があるため、カードそのものを物理的に守ることが、利用者にとって最も直接的な自衛策になります。

情報システム部門への示唆

今回の事案は、非接触ICカードや非接触決済を業務で利用している組織にとって、いくつかの実務的な示唆を含んでいます。

まず、自組織が発行・利用しているFeliCaベースのカード(社員証、入退室管理カード、電子マネー、決済サービス等)に、2017年以前に出荷された対象チップが含まれていないかを確認することが第一歩です。特に、社員証や入退室管理にFeliCaを採用している場合、カードのデータ改ざんが物理的なセキュリティに直結するため、ソニーが提供する技術文書に基づく影響確認を行うことが望まれます。

一方で、この脆弱性の攻撃元区分が物理(AV:P)である点は、リスク評価において冷静に捉える必要があります。ネットワーク経由で遠隔から大規模に悪用できるものではなく、悪用には攻撃者が標的のカードに物理的に接触・近接する必要があるため、過度に不安を煽るのではなく、カードの適切な物理的管理(盗難・紛失・スキミング防止)という基本的な運用面の対策とあわせて、リスクの現実的な水準を踏まえた対応を検討することが適切です。JCBがQUICPayについて、チップ側の脆弱性そのものへの対応と並行して、不正利用を検知する取引監視という運用面の対策を強調している点は、ハードウェアの脆弱性に対して、サービス運用のレイヤーで多層的にリスクを低減するという考え方を示すものであり、参考になります。