2026年5月第1週｜自動車サプライヤー様向けPSIRT週報
車載セキュリティ脅威・脆弱性インテリジェンス
1. エグゼクティブサマリー
本週報は、2026年4月29日から2026年5月4日（JST）の期間に公表されたサイバーセキュリティ脅威情報や脆弱性情報（CVE）の中から、自動車サプライヤーの製品群、開発環境、およびバックエンドインフラストラクチャに対して実際に影響を及ぼしうる事象を抽出し、影響評価と対応の優先順位付けを行った分析レポートです。
今週の全体傾向として、自動車サプライチェーンを構成する「第2層（上流車載プラットフォーム／コンポーネント供給者）」および「第3層（基盤OSS）」において、極めて深刻かつ広範な影響を及ぼす脆弱性が連続して公開された点が挙げられます。
-
Linux Kernel "Copy Fail" (CVE-2026-31431)
暗号化サブシステムに内在する特権昇格（LPE）脆弱性。PoCが公開されCISA KEVに即座に追加。OTA基盤やCI/CD環境等のコンテナ境界を突破され、ホスト全体の制御を奪取される危険性があります。 -
Qualcomm PLC FW & GPU 脆弱性
EV充電制御に直結するPLC通信ファームウェアにおけるバッファオーバーフロー（CVSS 9.6）や、コックピット環境に影響する車載GPUの脆弱性が発表されました。 -
FreeRTOS-Plus-TCP メモリ破壊
車載組込みOSとして広く普及しているFreeRTOSのTCPスタックにおいて、IPv6およびDHCPv6に関連する欠陥が報告。次世代アーキテクチャ（SDV）におけるネットワーク防御への直接的な脅威です。
PSIRT実務上の意味として、担当者は直ちに自社のクラウドインフラに対する「Copy Fail」の緩和策適用状態を確認するとともに、SBOMを活用してFreeRTOS-Plus-TCPやQualcomm製SoCの採用状況を網羅的に特定する必要があります。OEMからの照会やVEXの提出要求に先んじて、波及範囲の特定とパッチ適用計画の策定を今週中に推進することが強く推奨されます。
2. 今週の主要ニュース比較表
本セクションの表では、事象そのものの技術的な深刻さを示す「技術深刻度」と、実際の車載環境における露出面や悪用の有無を考慮した運用上の緊急性を示す「対応優先度（P1〜P4）」に分離して整理しています。
| 公開日(JST) | 対象 | 層 | 識別子 | 技術深刻度 | 優先度 | 自動車への関係 |
|---|---|---|---|---|---|---|
| 04/29〜05/01 | Linux Kernel | 3, 4 | CVE-2026-31431 | 7.8 High | P1 (即) | OTA基盤、CI/CD環境、コンテナホストインフラの根幹。 KEV追加 |
| 05/04 | Qualcomm | 2 | CVE-2026-25293 CVE-2026-24082 |
9.6 Critical 7.8 High |
P2 | EV充電(PLC)通信やIVI/コックピットGPU制御に直結 |
| 04/29 | FreeRTOS-Plus-TCP | 3 | CVE-2026-7424等 | Important | P2 | TCU/ゲートウェイ等で稼働するRTOSネットスタックへの攻撃リスク |
| 05/01 | Android (AOSP) | 2, 3 | CVE-2026-0073 | Critical | P2 | AAOS搭載IVIでの隣接ネットワークからのRCE完全掌握リスク |
| 04/29 | curl | 3 | CVE-2026-5545 | 8.8 High | P3 | 車載器のOTAチェック等、HTTP Negotiate通信時の認証バイパス |
3. 優先度 Top 5
【P1】Linux Kernel 特権昇格「Copy Fail」（CVE-2026-31431）
技術深刻度以上の運用危機です。決定論的エクスプロイト（PoC）が公開されKEVに追加されました。コンテナ境界を突破してホスト全体のrootを奪取されるため、OTAプラットフォームやビルドパイプラインへの緊急の社内判断が不可欠です。
【P2】Qualcomm 車載SoCおよびPLCファームウェアの脆弱性
PLCファームのバッファオーバーフロー（CVSS 9.6）はEV充電インフラと車両間通信を介した掌握リスクを示唆。車載GPUのUAF（CVSS 7.8）はコックピット安定性に波及。ハードウェアBOM精査とOEM向け報告準備が必要です。
【P2】FreeRTOS-Plus-TCP エッジネットワークのメモリ安全性
TCUやGW等のRTOSとしてデファクトな基盤における欠陥。IPv6 RA処理やDHCPv6解析の不備でパケット受信だけでメモリ破壊を引き起こし、車内ネットワーク（CAN-FD等）侵入の足がかりを与えます。
【P2】Android OS (AOSP) adbd の RCE
ユーザー操作なしでシェル権限のRCEが可能（Critical）。量産用ソフトウェアにおいてデバッグブリッジ（adbd）が有効なままの場合や、診断ポートが不適切に露出している場合、致命的な侵入口となります。
【P3】curl HTTP Negotiate 接続の誤再利用
OTAクライアント等で広く使われるcurlの論理エラー。車載器で複数ユーザーコンテキストを切り替えるユースケースは稀なため即時悪用リスクは低いものの、SBOM照合と次回定例更新でのv8.20.0適用が推奨されます。
4. 個別解説
論点A: バックエンドインフラとコンテナ境界の崩壊 ── Linux Kernel "Copy Fail"
- 更新日：2026/04/29 〜 05/01
- 識別子：CVE-2026-31431（CVSS 7.8 High）
- 確度：高（PoC公開、CISA KEV追加）
事象の技術的詳細： カーネル暗号化サブシステムのAF_ALGとsplice()システムコールの相互作用欠陥。ディスク上のファイルを変更せず、メモリ上のページキャッシュにある特権バイナリ（su, sudo等）の表現を改ざんできます。ネットワークアクセス不要で、短いPythonスクリプトで確実な特権昇格（UID 0）を実現します。
自動車サプライヤーへの影響： 車載機器以上に、クラウド上のK8sクラスタやCI/CD等の「バックエンドインフラ」に対する壊滅的リスクです。特権を持たないコンテナ内からホストOS全体のroot権限が奪取され、悪意のあるOTAペイロード生成やインフラの可用性破壊に繋がります。
【推奨アクション】- 緊急監査： AWS/Azure等で稼働するLinuxシステムへのパッチ適用状況の即時監査。
- 緩和策適用： パッチが即時適用できない本番環境は、カーネル起動パラメータ（
initcall_blacklist=algif_aead_init）で該当モジュールを無効化。
論点B: 車載ネットワークエッジにおけるメモリ安全性 ── FreeRTOS / Android
FreeRTOS（CVE-2026-7424等）： DHCPv6サブオプション解析時の整数アンダーフローとIPv6 RAパース処理の欠陥。外部から細工されたパケットを処理するだけでメモリが破壊され、ECUクラッシュ（DoS）や任意コード実行に繋がります。
Android adbd（CVE-2026-0073）： ユーザー操作不要で隣接ネットワークからRCEが可能。AAOS搭載のIVIシステムにおいて、量産ビルドでadbdが有効化されていると致命的な侵入口となります。
【推奨アクション】 FreeRTOS(v4.x)の利用箇所をSBOMで特定しパッチ計画策定。AAOS開発部門に対し、量産ビルドでのadbd無効化状態の再監査を実施。論点C: ハードウェア依存領域における脆弱性 ── Qualcomm 車載SoC / PLC
EV充電プロトコル通信に使用されるPLCファームウェアのバッファオーバーフロー（CVSS 9.6）は、悪意のある充電スタンドに接続された際に車載コントローラが掌握されるリスクを示唆します（TARAの更新が必要）。車載GPUのUse-After-Free（CVSS 7.8）は、IVI側から計器盤（クラスター）側の安全メモリ領域を破壊するシナリオが想定されます。
【推奨アクション】 EV用オンボードチャージャー等にQCA7005等の採用があるかBOM確認。Qualcomm 5月度BSPの適用ロードマップ策定。5. 今週のトレンド
-
境界線を越えた「バックエンドインフラ」への標的化の集中
Linux Kernelの「Copy Fail」が示すように、攻撃者の関心は車載ソフトウェアを構築・配信するクラウドバックエンドへとシフトしています。コンテナ環境の脆弱性を突くことで、個別の車両をハッキングするよりも効率的に多数の車両に対するサプライチェーン攻撃を実行できるためです。 -
プロトコル解析の複雑化に伴うエッジコンポーネントのメモリ破壊リスク
FreeRTOSのIPv6/DHCPv6脆弱性、QualcommのPLCバッファオーバーフローは、いずれもプロトコルパース段階の境界チェック欠落に起因します。既存のC/C++ベーススタックに依存する自動車業界にとって、厳格な入力サニタイズとNWセグメンテーションが引き続き重要です。 -
KEV（悪用確認済脆弱性カタログ）主導のパッチマネジメントの加速
「Copy Fail」が公開から数日でCISA KEVに追加された事実は、脅威アクターがPoCを即座に兵器化するリードタイムが極端に短くなっていることを意味します。「CVSSスコアが高いから対応する」から「実悪用が確認されたため即座にインフラを防御する」体制へのシフトが求められています。
公開・更新タイムライン（第5週〜第1週）
6. PSIRT向け To-Do（今週のアクション）
algif_aead モジュール無効化を指示。adbd が確実に無効化されていること、診断ポートがロックダウンされていることをコード・設定レベルで再検証する。付録データ：ニュース候補一覧と採否判断ログ（TSV）
本レポート作成時に収集したニュース候補の全リストと、採用・除外の判断理由です。
以下のボックス内はTSV（タブ区切り）形式のテキストになっています。コピーしてExcelやGoogleスプレッドシートのA1セルにそのまま貼り付けると、表として展開されます。
候補ID 公開日/更新日(JST) 対象 層 トピック要約 採用可否 判断理由 一次情報URL 備考
C01 2026/04/29〜05/01 Linux Kernel 3, 4 AF_ALGモジュールにおける特権昇格(Copy Fail) CVE-2026-31431。実悪用あり、KEV追加。 採用 車載バックエンド、ビルド基盤、OTAサーバーへの影響が極大であり、PoC公開済みのため対応優先度が極めて高いため。 https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/ CISA KEVに5/1追加済
C02 2026/05/04 Qualcomm 2 May 2026 Security Bulletin。PLC FWバッファオーバーフロー(CVSS 9.6)、車載GPU Use-After-Freeなど。 採用 EV充電(PLC)通信や車載コックピット等、自動車の直接的な制御・ハードウェアに影響を及ぼすクリティカルな脆弱性のため。 https://docs.qualcomm.com/securitybulletin/may-2026-bulletin.html CVE-2026-25293, CVE-2026-24082等
C03 2026/04/29 FreeRTOS-Plus-TCP 3 DHCPv6整数アンダーフロー、IPv6 RAメモリ安全性問題。AWSセキュリティ情報。 採用 ECUやTCUのネットワークスタックとして広く利用されており、不正パケットによるリモートからのクラッシュやコード実行リスクがあるため。 https://aws.amazon.com/security/security-bulletins/2026-022-aws/ CVE-2026-7424等
C04 2026/05/01 Android (AOSP) 2, 3 Android Security Bulletin May 2026。adbdコンポーネントにおけるRCE(CVE-2026-0073)。 採用 AAOSベースのIVIにおいて、隣接ネットワークからユーザー操作なしでシェル実行が可能となる致命的な問題のため。 https://source.android.com/docs/security/bulletin/2026/2026-05-01
C05 2026/04/29 curl 3 HTTP Negotiate認証時のセッション誤再利用による認証バイパス(CVE-2026-5545)。 採用 車載器のOTAクライアントやバックエンド通信において広く使われるOSSであり、SBOM確認の対象として必須であるため。 https://curl.se/docs/CVE-2026-5545.html
C06 2026/04/14頃 Microsoft 4 April 2026 Patch Tuesday (SharePoint, Defender等の脆弱性)。 除外 公開日が対象期間(4/29〜5/4)より前である上、一般的なITニュースに該当し車載特有の優先対応事項ではないため。 https://www.crowdstrike.com/en-us/blog/patch-tuesday-analysis-april-2026/
C07 2026/04/24 Samsung 2 Samsung MagicINFO等のパストラバーサル脆弱性がCISA KEVに追加。 除外 公開日が対象期間外(4/24)であり、車載環境での利用が確認できないエンタープライズ製品の脆弱性のため。 https://www.cisa.gov/news-events/alerts/2026/04/24/cisa-adds-four-known-exploited-vulnerabilities-catalog
C08 2026/05/01頃 SimpleHelp 4 Missing Authorization等(CVE-2024-57726)がCISA KEVに追加。 除外 一般的なリモートサポートツールの脆弱性であり、自動車サプライヤーの製品や固有のバックエンドに直接影響しないため。 https://thehackernews.com/2026/04/cisa-adds-4-exploited-flaws-to-kev-sets.html
C09 2026/04/29 cPanel 4 cPanel / WHM における認証バイパス脆弱性。 除外 一般的なWebホスティング管理ツールの脆弱性であり、車載システムや直接的なサプライチェーンに影響しないため。 https://thehackernews.com/2026/04/critical-cpanel-authentication.html
C10 2026/04/07 OpenSSL 3 Incorrect Failure Handling (CVE-2026-31790)など多数の脆弱性修正。 除外 車載関連性は極めて高い基盤OSSであるが、公開日が4月7日であり対象期間の週報要件から外れるため。 https://openssl-library.org/news/timeline/
C11 2026/05/07 Linux Kernel 3 ESP/IPsecモジュールにおけるローカル特権昇格「Dirty Frag」(CVE-2026-43284等)。 除外 車載関連性は高いが、公開日が5月7日であり、指定された対象期間(4/29〜5/4)の範囲外であるため。 https://ubuntu.com/blog/dirty-frag-linux-vulnerability-fixes-available
C12 2026/05/01頃 ConnectWise 4 ScreenConnectの脆弱性(CVE-2024-1708)のCISA KEV追加。 除外 一般的なIT運用管理ツールの脆弱性であり、車載固有のインフラや製品とは関連性が薄いため。 https://www.cybersecuritydive.com/news/cisa-microsoft-connectwise-kev-update/818817/
C13 2026/04/29 Ivanti 4 Neurons for ITSMの脆弱性修正公開。 除外 一般的なITサービス管理ツールのニュースであり、製品セキュリティ(PSIRT)の直接的なトリアージ対象外のため。 https://www.ivanti.com/blog/april-2026-security-update
C14 2026/04/29 CloudBees 4 CloudBees CI Security Advisoryの発行。 除外 CI/CDツールのセキュリティ情報だが、具体的な車載インフラへの侵害リスクの詳細が不明確であり、影響評価が困難なため。 https://www.cloudbees.com/security-advisories
C15 2026/05/06 Palo Alto Networks 4 PAN-OSの脆弱性(CVE-2026-0300)がCISA KEVに追加。 除外 公開日が対象期間外(5/6)であり、エンタープライズ向けファイアウォールの情報であるため。 https://us-cert.cisa.gov/news-events/alerts/2026/05/06/cisa-adds-one-known-exploited-vulnerability-catalog
C16 2026/04/24 Azure 4 Azure Web Application Firewall等のアップデート。 除外 クラウド基盤の一般的なアップデート情報であり、車載特有の重大な脆弱性対応に直結しないため。 https://azure.microsoft.com/updates?id=558016 7. 参考URL一覧
- https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/
- https://ubuntu.com/blog/copy-fail-vulnerability-fixes-available
- https://www.cisa.gov/news-events/alerts/2026/05/01/cisa-adds-one-known-exploited-vulnerability-catalog
- https://docs.qualcomm.com/securitybulletin/may-2026-bulletin.html
- https://source.android.com/docs/security/bulletin/2026/2026-05-01
- https://aws.amazon.com/security/security-bulletins/2026-022-aws/
- https://aws.amazon.com/security/security-bulletins/2026-023-aws/
- https://curl.se/docs/CVE-2026-5545.html
クラウド・コンテナ基盤の「特権昇格リスク」を評価しませんか？
OTA配信サーバーやCI/CDパイプラインなど、サプライチェーンの心臓部を担うインフラストラクチャへの侵害は致命的です。SBOMを活用した製品コンポーネントの特定と、バックエンド防御体制の構築をご相談いただけます。