任天堂は2026年9月10日、初代Nintendo Switchを対象としたセキュリティアドバイザリを公開し、ローカル無線通信機能に存在するスタックバッファオーバーフローの脆弱性（CVE-2026-82079）を公表した。影響を受けるのはシステムバージョン23.0.0未満の本体であり、任天堂は修正を含んだ最新ファームウェア23.0.0の即時適用を呼びかけている。
今回の脆弱性は、一般的なインターネット越しの遠隔攻撃とは異なり、攻撃者が端末の電波到達圏内におり、かつ画面上に表示されたQRコードを目視などで直接読み取れるという限定的な環境下で成立する。しかし条件が満たされた場合、攻撃者は細工した無線パケットを送り込むことでスタックを破壊し、ROP（Return-Oriented Programming）を用いて任意のコードを実行し、本体内に保持された機密情報を奪取できる危険性を持つ。利便性のために導入されたアドホックな近接通信機能がなぜ攻撃経路となったのか、その技術的構造と評価の背景を検証する。
アルバム転送とマリオカートが抱えた近接通信の盲点
任天堂の公式アドバイザリによると、本脆弱性が悪用され得るのは以下の2つの場面に限られる。
- アルバム機能内で「スマートフォンへ送る」機能を使用するとき
- 『マリオカート ライブ ホームサーキット』でカートを使用するとき
いずれの場面も、Nintendo Switch本体が外部機器と一時的なアドホック無線接続を確立する機能である点が共通している。
初代Nintendo Switchのアルバムに搭載されている「スマートフォンへ送る」機能は、コンソールとスマートフォンの間で写真や動画を直接受け渡す仕組みである。この処理において、Switch本体は一時的なWi-Fiアクセスポイント（SoftAP）として動作する。画面上に最初に表示されるQRコードには接続用のSSIDと暗号化キー（WPAキー）が埋め込まれており、スマートフォンがこれを読み取ることでアドホックな無線ローカルネットワークへ合流する。続いて表示される2つ目のQRコードには、Switch内部で立ち上がった軽量WebサーバーのローカルURL（HTTP）が含まれており、ブラウザからこのサーバーへアクセスして画像データをダウンロードするプロトコル設計となっている。
一方の『マリオカート ライブ ホームサーキット』は、カメラを内蔵した物理的なラジコンカートとSwitch本体を無線で連動させ、現実の部屋にARのサーキットを投影して遊ぶタイトルである。ゲーム開始時、Switchの画面（またはドック接続されたテレビ画面）に接続用QRコードが表示され、これを実車カートのカメラで読み取らせることで、カートと本体の間でローカル無線のペアリングを完了し、低遅延な映像ストリーミングと走行制御コマンドの送受信を開始する。
問題の本質は、これらの一時的な無線ネットワーク環境において、接続してきた外部デバイスからのデータ受信処理に不備が存在したことにある。本来は正規のスマートフォンやペアリングされたカートのみが接続することを想定していたが、悪意ある第三者が画面上のQRコードを直接読み取って一時ネットワークへ参加した場合、受信デーモンに対して細工した不正パケットを送信することが可能となっていた。
任天堂はアドバイザリにおいて、「本体の画面に表示される（またはテレビに表示される）QRコードを第三者に読み取られない環境でご利用いただいている場合、本脆弱性が悪用されることはありません」と強調している。家庭内などの隔離された空間であれば悪用は困難だが、公共の場やオフラインイベントなどでQRコードを周囲に露出させた場合、近接攻撃者にとって格好の侵入経路へと変貌する盲点を抱えていた。
スタック破壊からROP連鎖に至る制御奪取の仕組み
CVE公式レコードによると、CVE-2026-82079の脆弱性種別はCWE-121（スタックベースのバッファオーバーフロー）に分類され、攻撃パターンとしてはCAPEC-100に該当する。
スタックバッファオーバーフローは、プログラムがメモリ上のスタック領域に確保した固定長バッファを超えて外部データを書き込んでしまうメモリ破壊の古典的欠陥である。Switchのローカル無線通信処理において、受信したフレームやHTTPリクエストヘッダなどの長さを正しく検証せずにスタック上のバッファへコピーした結果、隣接するフレームポインタや関数のリターンアドレスが上書きされる状態が生じていた。
現代のオペレーティングシステムでは、スタック上に悪意あるシェルコードを注入して直接実行することを防ぐため、NXビット（データ実行防止、DEP）が標準的に機能している。Nintendo Switchが採用するHorizon OS（マイクロカーネル構造の独自OS）においても、スタック領域は実行不可（Non-Executable）として保護されており、さらにASLR（アドレス空間配置のランダム化）によってメモリレイアウトの固定化が防がれている。
攻撃者はこの多重防壁を突破するため、ROP（Return-Oriented Programming）という手法を用いる。ROPは、メモリの実行可能領域（共有ライブラリやコードセグメント）にすでに存在している既存の命令コード断片（末尾がret命令で終わる「ガジェット」と呼ばれる短い命令列）のアドレスをスタック上に整列させ、関数のリターン命令を連続的に連鎖させることで、スタック領域自体を実行することなく任意の処理を組み立てる手法である。
CVE-2026-82079において、攻撃者は細工したパケットを通じてスタック上のリターンアドレスをROPガジェット群のアドレスへと書き換え、プログラムの実行制御を完全に乗っ取ることが可能となっていた。この制御奪取により、攻撃者は権限昇格やシステム内部APIの不正呼び出しを通じて、コンソール内に保存されているセーブデータ、暗号化キー、アカウント認証情報、あるいは機器固有のテレメトリデータなどを外部へ送信・漏洩させる潜在的リスクが生じる。
CVSS 4.0と3.1で分かれた深刻度評価の背景
本脆弱性の公表において注目すべき技術的側面のひとつが、セキュリティ評価機関の間で見られたCVSS（共通脆弱性評価システム）スコアの評価の乖離である。
CVE-2026-82079の深刻度評価において、任天堂CNAはCVSS 4.0で7.0（High、近接ネットワーク・受動的ユーザー関与あり）と算定したのに対し、CISA ADPはCVSS 3.1で8.4（High、ローカル・ユーザー関与なし）と算定しており、QRコードの目視読み取り要件を攻撃経路とユーザー関与のどちらに分類するかで評価が分かれている。
| 評価機関 / 仕様 | 基本値（Base Score） | 攻撃元（Attack Vector） | ユーザー関与（User Interaction） | 影響度（Impact） |
|---|---|---|---|---|
| 任天堂CNA（CVSS 4.0） | 7.0（High） | 近接ネットワーク（Adjacent: AV:A） | 受動的関与あり（Passive: UI:P） | VI:H / VC:L / VA:L |
| CISA ADP（CVSS 3.1） | 8.4（High） | ローカル（Local: AV:L） | なし（None: UI:N） | C:H / I:H / A:H |
任天堂自身がCVE採番機関（CNA: CVE Numbering Authority）として算定したCVSS 4.0のベクター（CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:P/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N）は、攻撃条件の現実的な制約を的確に反映している。
まず、攻撃元区分（Attack Vector）は近接ネットワーク（Adjacent: AV:A）と評価されている。攻撃者がWi-Fi電波の物理的届く範囲内に存在しなければ通信できないためである。また、ユーザー関与（User Interaction）には受動的関与（Passive: UI:P）が割り当てられている。ユーザーが意図的に画面へQRコードを表示させ、通信待機状態にするという操作が介在しなければ、攻撃者がローカル無線セッションを開始できないためである。さらにCVSS 4.0の精密な影響度区分において、完全性（VI:H）への影響を高く見積もる一方で、機密性（VC:L）や可用性（VA:L）への影響を限定的に評価した結果、ベーススコアは7.0となった。
これに対し、米CISAのADP（Authorized Data Publisher）によるCVSS 3.1のベクター（CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）では、画面の目視を要する物理的近接性をローカルアクセス（AV:L）とみなし、ユーザーが不正なリンクをクリックするなどの積極的関与を行わないことからユーザー関与なし（UI:N）と分類した。その上で、コード実行によってシステム全体が侵害される可能性を重く見て全影響度（High）を付与したため、スコアは8.4へと跳ね上がった。
第三者脆弱性データベースが算出するEPSS（Exploit Prediction Scoring System、悪用予測スコアリングシステム）の予測値は約0.16%にとどまっている。EPSSは野生下（in the wild）での悪用確率を予測する統計モデルだが、0.16%という低数値は、本攻撃が「Wi-Fi到達圏内」かつ「QRコードの直接目視」という2つの物理的制約を同時にクリアしなければ成立しないというハードルの高さを裏付けている。
Switch 2の安全境界と求められるユーザー対応
任天堂が公開した公式アドバイザリの対象製品欄には、極めて興味深い注記が添えられている。
「備考：Nintendo Switch 2においては本体が持つ情報を取得される恐れはありません」
任天堂は次世代プラットフォームであるNintendo Switch 2において、本脆弱性を悪用して本体情報を奪取される危険性がないことを公式に明記した。この記述は、Switch 2が初代Switchのファームウェアや通信スタックを単純に流用しているのではなく、アーキテクチャレベルで堅牢なセキュリティ境界を確立していることを示唆している。
具体的には、ローカル無線通信を司るデーモンの特権分離の徹底、プロセス間通信（IPC）の制限強化、最新のコンパイラによるスタック保護（Stack Canaries）や制御フロー完全性（CFI: Control Flow Integrity）の導入、あるいはWi-Fi Directペアリングプロトコル自体の再設計によって、仮にバッファ境界の逸脱が試みられたとしてもROP連鎖やメモリ漏洩が物理的に成立しない防護策が講じられていると解釈できる。
一方で、世界中で広く普及している初代Nintendo Switchに対しては、速やかなパッチ適用が唯一の根本対策となる。
任天堂は2026年9月10日に配信開始したシステムバージョン「23.0.0」において、本スタックバッファオーバーフローの修正パッチを実装した。ユーザーは以下の手順で本体の更新状態を確認し、未適用の場合はアップデートを実施する必要がある。
- HOMEメニューの「設定」を開く。
- 左メニューから「本体」を選択する。
- 表示されている「現在のシステムバージョン」が「23.0.0」以上になっているかを確認し、「本体の更新」から手動アップデートを開始する。
インターネットに接続されているコンソールであれば通常は自動的に更新データがダウンロードされるが、携帯モード専用でオフライン運用している場合などは更新が保留されている可能性があるため注意が必要だ。
すぐにシステムアップデートを適用できない場合の暫定的な回避策として、任天堂は以下の運用上の留意点を求めている。
- アルバムの「スマートフォンへ送る」機能や『マリオカート ライブ ホームサーキット』を使用する際は、画面やテレビに表示されるQRコードを第三者に見られない環境でのみ使用すること。
- アルバムの転送機能において自身以外のスマートフォンを利用しないこと。
- マリオカートライブにおいて自身が所有する正規のカート以外を使用しないこと。
画面に表示されるQRコードは、単なるWebリンクではなく、本体が外部デバイスと暗号化・認証を伴うローカル無線リンクを結ぶための秘密鍵情報そのものである。ゲーム機の利便性を支える近接プロトコルの取り扱いには、身近な物理的空間であっても相応のセキュリティ意識が求められる。
