Authenticator は、認証フローハイジャックに対して脆弱である

Gematik Authenticator アプリケーションにおいて、深刻な脆弱性（CVE-2026-33875）が特定されました。この脆弱性は、バージョン 4.16.0 以前のバージョンにおいて、認証フローの乗っ取りを可能にするものです。攻撃者は、ユーザーが悪意のあるディープリンクをクリックさせ、正規のユーザーとして認証させることが可能になります。これにより、機密性の高い医療情報への不正アクセスや、ユーザーの同意なしにユーザーの代わりにアクションを実行されるリスクがあります。CVSS スコアは 9.3 で、重大なリスクを示しています。この脆弱性は、ユーザーの医療データのセキュリティとプライバシーに直接影響を与えます。

Users of Gematik Authenticator who rely on it for secure access to digital health applications are at risk. This includes patients, healthcare providers, and administrative staff. Individuals who frequently click on links from unknown or untrusted sources are particularly vulnerable.

• android / supply-chain:

Get-InstalledPackage -Name "Gematik Authenticator"

• android / supply-chain:

adb shell dumpsys package com.gematik.authenticator | grep versionName

• android / supply-chain: Check app permissions for suspicious deep link handling capabilities.

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-03-27
3. 更新日2026-04-03
4. EPSS 更新日2026-04-04

推奨される対策は、Gematik Authenticator アプリケーションをバージョン 4.16.0 以降に直ちにアップデートすることです。このアップデートには、認証フローの乗っ取り脆弱性を軽減するための修正が含まれています。この脆弱性に対する既知の回避策はありません。アプリケーションのすべてのユーザーに、データとアカウントを保護するために、できるだけ早くアップデートを実行することを強く推奨します。インストール後にアプリケーションが正常にアップデートされていることを確認してください。アップデートプロセスについてご不明な点がございましたら、Gematik の公式ドキュメントを参照するか、デジタル医療サービスプロバイダーにお問い合わせください。