Androidスマートフォンにアプリをインストールするだけで、端末が再起動ループに陥り、最悪の場合は初期化が必要になるという深刻な脆弱性が報告されました。Bitdefenderのセキュリティ研究チームが発見した「GhostMap」と呼ばれるこの問題は、Android 10以降の幅広いバージョンに影響する可能性があります。アプリを一度も起動する必要がない点も特徴です。
アプリのインストールだけでシステムがクラッシュ
GhostMapは、AndroidアプリのインストールファイルであるAPK内部のZIP構造を処理する仕組みに存在する脆弱性です。
Bitdefenderは、アプリ内部にコードを含まず、特別な権限も要求しないテスト用アプリを作成しました。しかし、このアプリをインストールするとAndroidの中核プロセスであるsystem_serverが繰り返しクラッシュし、端末が正常に起動できなくなることを確認しています。
一度この状態に陥ると、スマートフォンは再起動とクラッシュを繰り返す再起動ループに入り、画面上から原因となったアプリを特定することも困難になります。
セーフモードでも復旧できないケース
Bitdefenderは、Android 17と2026年8月のセキュリティパッチを適用したPixel 10でGhostMapを検証しています。
テストではアプリのインストールから約1秒後に最初のクラッシュが発生し、あるケースでは110回もの再起動が繰り返されました。さらに、セーフモードでも問題を解消できなかったとされています。
状況によっては、端末を工場出荷状態にリセットする必要があり、保存されているデータがすべて消去される恐れもあります。
今回の脆弱性はAndroidのベースとなるAOSPに存在し、Android 10以降で再現されたとのことです。検証に使用されたのはPixel端末のみですが、Androidそのものに起因する問題であるため、Samsungなど他メーカーの端末にも影響する可能性があります。
アプリの削除を妨害する攻撃にも悪用可能か
Bitdefenderは、GhostMapを悪用することで、インストールしたアプリを削除できない状態にしたり、スマートフォンを使用不能にして解除と引き換えに金銭を要求したりする攻撃も考えられると警告しています。
また、インストール時だけでなく、後から配信されるアプリのアップデートを通じて悪意のあるファイルが送り込まれる可能性も指摘されています。
研究のきっかけとなったのは2026年8月で、バンキング型マルウェアのサンプルがBitdefenderのテスト用エミュレーターをクラッシュさせたことでした。ただし、このサンプルではインストール自体が失敗するだけで、今回確認された再起動ループまでは発生していなかったとのことです。
Googleへの報告済みも修正パッチは未提供
Bitdefenderは本脆弱性をGoogleのAndroid脆弱性報奨金プログラムを通じて報告しており、2026年11月5日の情報公開についてもGoogleと合意しています。
しかし、情報公開時点では修正パッチは提供されていません。また、BitdefenderはGhostMapを利用した実際の攻撃も確認していないと説明しています。
現時点でユーザーができる対策としては、Google Play以外からのAPKインストールを避け、信頼できないサイトからアプリを入手しないことが重要です。万が一端末の初期化が必要になった場合に備え、日頃からバックアップを取っておくことも推奨されます。
なお、Googleは2026年11月のセキュリティアップデートで、電話番号だけを手掛かりに端末上でコードを実行される恐れがある別の重大な脆弱性も修正しています。Pixelユーザーは11月のセキュリティパッチが適用されているか確認しておくとよさそうです。
