AndroidのadbdにCVE-2026-0073、ユーザー操作不要のRCEを5月セキュリティ更新で修正

「業務用のAndroid端末、本当にすぐ更新が降ってくるのだろうか？」
「ユーザー操作なしで攻撃が成立するって、何がそんなに怖いの？」

チップス

ボス！うちの営業さん、Android端末で社内システム見てるんでしゅが、こういうRCEってどれくらいヤバいんでしゅか？

ボス

悪い順に並べたら、上から3番目以内に入る種類だな。今回のCVE-2026-0073は、ユーザー操作なしでshellユーザーとしてコード実行ができる。MDMの設定次第で被害が変わってくる、と覚えておけ。

そう感じた方が、ちょうど読むべき内容です。
本記事では、CVE-2026-0073の概要と業務端末で押さえるべき対応の優先順位を整理します。

読み終えるころには、自社のAndroid運用ポリシーをどう見直すべきかの判断材料が揃います。

CVE-2026-0073の概要と公開状況

5月のAndroid Security Bulletinで「Critical」として明示された脆弱性です。

adbdが攻撃面になる珍しい不具合

本脆弱性は、Android Debug Bridge daemon（adbd）に存在するリモートコード実行欠陥です。
追加の権限取得を必要とせず、shellユーザーとしてコード実行が可能と説明されています。
いまのところ、実際の攻撃キャンペーンでの悪用報告はありません。

注目すべき特徴を整理します。

「shellユーザー」で何ができてしまうのか

shellユーザーは、root権限ほどの自由度は持たない一方で、開発者向け権限としては強力な部類に入ります。
アプリのインストール・アンインストール、システム情報の取得、特定ディレクトリのファイル読み出しなどが可能です。
Android端末を業務利用している組織にとって、この権限を未認証で奪われるインパクトは無視できません。

チップス

shellユーザーって、root未満なのに結構いろいろできちゃうんでしゅね…

ボス

そうだ。アプリの裏でadb権限の操作が走れば、業務データの抜き取りや横展開の足場として十分機能する。「root未満だから安心」という誤解は捨てた方がいい。

企業のAndroid運用で何を点検すべきか

OEM経由の配信タイムラグが、今回もリスクの本丸になります。

パッチ配信の遅延に備える

Googleの修正は5月5日に提供されましたが、実際にユーザーの端末へ届くまでには各メーカーの検証期間がはさまります。
過去の例では、ハイエンドモデルでも数週間、廉価モデルや古い世代では数カ月単位の遅れが発生してきました。
業務利用が多い端末の優先順位を、いまのうちに棚卸ししておくのが現実的です。

パッチ配信の状況に左右されにくい、運用面の打ち手は以下の通りです。

アプリ開発者・情シスが見落としやすい点

業務アプリ開発の現場では、CIや検証用にUSBデバッグを常時有効化したまま端末が貸与されがちです。
運用に紛れて社外へ持ち出されると、攻撃面の拡張に直結します。
アプリ単体のセキュリティだけでなく、土台のOS設定とMDM運用にも目を向けることをおすすめします。

詳細はAndroid Security Bulletin 2026年5月版を参照してください。

まとめ：手元のAndroid、何から確認するか

今回のCVE-2026-0073は、いまのところ実悪用は確認されていません。
しかしユーザー操作不要のRCEは、ばらまき型攻撃のテンプレートになりやすい性質を持っています。
5月のセキュリティパッチレベルが当たっているか、MDMでデバッグ系設定が締まっているか、この2点をまず確認しましょう。

チップス

パッチ＋設定の二段構えでしゅね。来週の運用ミーティングで提案するでしゅ！

ボス

うむ。OSの脆弱性は、結局のところ運用設計でカバーできる部分が大きい。手を動かす者が勝つ世界だ。