OnePlus端末に未修正の脆弱性、権限不要のアプリからroot権限を奪取可能

要点

• OnePlusおよびOPPOの端末において、特別な権限を要求しない不正アプリから端末の最高権限（root権限）を奪取できる2つの脆弱性が判明した。

• セキュリティ研究者のRasmus Moorats氏が、独自サービス「AtlasService」と「olc2」を連携させた攻撃手法を実証した。

• 攻撃には端末へのアプリ導入が必要だが、記事公開時点で修正パッチやCVE番号は発行されていない。

• 研究者は2026年4月にメーカーへ報告していたが、合意した公開猶予期間を過ぎても返答が得られなかったため9月24日に詳細を公開した。

• OnePlusの最新スマートフォンにおいて、特別なアクセス権限を要求しない不正アプリから端末の最高権限であるroot権限を奪取できる脆弱性が存在することが明らかになった。セキュリティ研究者のRasmus Moorats氏が2026年9月24日に技術詳細を公開した。OnePlus独自のシステムサービスに存在する2つの不具合を組み合わせることで、無改造の端末でもシステム全体の完全な制御が可能になるという。

2つの独自サービスを連鎖させる攻撃の仕組み

今回発見された脆弱性は、OnePlusがOSに追加している2つのバックグラウンドサービスを連鎖（チェーン）させて権限を段階的に昇格させるものだ。なお、root権限とはAndroid端末においてシステム全体の改変や全データへのアクセスが可能な最上位の管理者権限を指す。

第1段階で悪用されるのは、デバッグ（不具合解析）用のデータ収集を行う「AtlasService」である。このサービスはroot権限で動作しながら、呼び出し元のアプリを検証せずに要求を受け付ける設計となっていた。攻撃者が細工した呼び出しを行うと、入力テキストが未検証のままシステムコマンドに渡されて実行される。この段階で得られるroot権限は「dumpstate」と呼ばれる制限されたシステム領域内に留まり、端末を完全に掌握することはできない。

しかし、第2段階としてハードウェア支援サービス「olc2」を組み合わせることで制限が突破される。olc2には受け取ったシェル命令をそのまま実行するコマンドが備わっており、その唯一の保護条件は「呼び出し元がroot権限を持っていること」だった。攻撃者は第1段階で得たroot権限を利用してolc2を呼び出すことで、カーネルコードのロードを含む低レベルなLinux権限を獲得し、端末のシステムレベルでの完全な制御権を握る。

影響範囲と攻撃成立の前提条件

Moorats氏の検証によると、最新の「OxygenOS 16」を搭載した「OnePlus 15」の実機（標準状態の端末）および「OnePlus 12 Pro」において攻撃の成立が確認された。OnePlus側は同氏に対し、同社製品だけでなく共通のソフトウェア基盤を採用するOPPOの多数のデバイスも同様の影響を受けると回答しているが、具体的な対象機種名は明かしていない。

本攻撃はローカル攻撃であり、端末上に不正アプリがあらかじめインストールされて実行されている必要があるため、インターネット経由で遠隔から直接攻撃することはできない。一方で、標的となるアプリはAndroidの明示的なパーミッションを一切要求せず、画面上にユーザーへの確認プロンプトも表示されない。なお、現時点でこの脆弱性が実際のサイバー攻撃で悪用された証拠は確認されていないという。

公開時点で公式の修正パッチやセキュリティアドバイザリ、CVE番号は発行されておらず、修正が行われるまでは信頼できる提供元からのみアプリをインストールすることが実質的な自衛手段となる。

報告から公開に至る5カ月間の経緯

Moorats氏が公開した情報によると、2026年4月の初回報告から詳細公開までに約5カ月の期間を要したという。報告から公開までのタイムラインは以下の通りである。

• 4月18日: Moorats氏がOnePlusへ両脆弱性を報告。
• 5月20日: OnePlusが脆弱性を確認。「開示の独占的な最終権利は当社にある」と主張し、無許可での公開には法的責任追及を行うと警告。
• 6月22日: OnePlusが修正対応の状況を伝え公開延期を要請。Moorats氏は9月17日まで公開を控えることに合意。
• 7月20日・9月11日: Moorats氏が進捗確認の連絡を送るも返信なし。
• 9月24日: 合意期日を過ぎたため、Moorats氏がブログ上で技術詳細を公開。

OnePlusは欧州のサイバーセキュリティ規則を根拠に、メーカーには報告を受け取って修正する義務があるものの、研究者が同意なく開示することは認められていないと主張していたとされる。

メーカー独自実装におけるセキュリティ課題

Android端末において、メーカーが独自に追加した機能やカスタマイズ層の脆弱性が突かれる事例は以前から指摘されている。2026年8月にはセキュリティ企業CalifのLukas Maar氏が、Samsung、Xiaomi、OPPO、OnePlus、Realmeなどの最新端末を対象に、権限不要のアプリからroot権限を奪取する別の攻撃手法を発表していた。

またOnePlusに関しては、2025年にもRapid7がショートメッセージ（SMS）を任意のアプリから読み取れるOxygenOSの権限バイパス脆弱性を報告した際、調査結果が公表されるまで同社からの返答が得られなかった経緯がある。