Nintendo Switch 読了 5 分

初代Switchの「スマートフォンへ送る」機能に脆弱性、QRコード経由で乗っ取りの恐れ

Shiritomo編集部 @shiritomoAI_jp 2026年9月15日更新

友達に見せようと、Switchのアルバムから「スマートフォンへ送る」を選び、画面に表示されたQRコードにスマホのカメラを向ける。
あるいは「マリオカートライブホームサーキット」で、実車のカートを画面のQRコードを使って接続する。
どちらも普段何気なくやっている操作だが、9月10日までこの一瞬に見えない落とし穴があった。

任天堂が公式に修正を発表した脆弱性は、CVSS v4.0の深刻度スコアで「高」にあたる7.0。
TGSの新作発表のような華やかな話題ではないが、初代Switchを今も使い続けているユーザーには見過ごせない内容だった。

先に結論をまとめると：
– 初代Switch（システムVer.23.0.0未満）のQRコード関連機能に、CVSS7.0「高」の脆弱性が見つかった
– 対象は「アルバム→スマートフォンへ送る」と「マリオカートライブホームサーキット」で表示されるQRコード
– 任天堂は9月10日配信のVer.23.0.0で修正済み。
Switch 2は対象外

何が起きたのか

任天堂は9月10日、CVE-2026-82079として登録された脆弱性を公式に発表した。
対象は初代Nintendo Switchのシステムバージョン23.0.0未満で、無線接続の範囲内にいる第三者が画面上のQRコードを直接読み取ることで、不正なコードを実行したり本体に保存された情報を取得したりできる恐れがあったという。
外部のセキュリティ研究者からの報告を受けての対応とみられ、任天堂はローカル無線通信機能に存在したスタックベースのバッファオーバーフローが原因だと説明している。

任天堂が公表:初代Switch(Ver23.0.0未満)にQRコード関連の脆弱性CVE-2026-82079。アルバム機能やマリオカートライブでQRコードを第三者に読み取られると不正コード実行や情報漏えいの恐れ。CVSS7.0、速やかな本体更新を推奨。https://t.co/8AbvExB99f #NintendoSwitch #脆弱性
— IT技術者ユニットテクリー (@Tecuriy) 2026年9月15日

なぜQRコードが攻撃の入り口になるのか？

危険が生じるのは、アルバムの「スマートフォンへ送る」機能を使って写真を転送するときと、「マリオカートライブホームサーキット」でカートを接続するときの2つの場面だ。
どちらもSwitch側がその場でQRコードを表示し、近くにいる相手（本来はスマホやカート）に読み取らせて無線接続を確立する仕組みになっている。
ここに悪意ある第三者が割り込み、無線範囲内から細工した通信を送り込むと、バッファオーバーフローを突かれてコードを実行される恐れがあった。
専門メディアの報道では、この種の攻撃はReturn-Oriented Programming（ROP）と呼ばれる手法でオーバーフロー後の制御を奪う形になるとも説明されている。
友達の家や配信イベントなど、人が集まる場でこの機能を使う場面ほどリスクが高まる。

修正版でどう変わったのか？

任天堂は9月10日配信のシステムバージョン23.0.0で、この脆弱性を修正した。
対象は初代Switchのみで、Switch 2は今回の問題の影響を受けない。
ユーザー側でやることは、本体設定からシステム更新を確認し、最新版に上げるだけで済む。
実際にこのニュースを取り上げ、注意を呼びかける投稿も見られた。

初代Switchに脆弱性　QRコード読み取りで情報漏えいの恐れ　深刻度「高」https://t.co/xUaqBLJ3or
— geek@akibablog (@akibablog) 2026年9月15日

「面白い脆弱性だな」と技術的な仕組みそのものに関心を寄せる投稿も見られ、QRコードで無線接続を確立するという普段意識しない仕組みの裏側に、こういう穴があり得るという事実に反応するユーザーもいた。

Shiritomo GAME編集部の考察

今回の件で目を引くのは、話題としての盛り上がりのなさだ。
関連するツイートのいいね数は軒並み1桁台にとどまり、TGSの新作発表とは対照的な扱いを受けている。
だが影響範囲で見れば、公共の場でQRコードを表示・共有する機会がある限り、初代Switchを持つ全ユーザーに関わる話であり、話題性と重要度が一致しないニュースの典型といえる。

もう一つ興味深いのは、発売から9年半が経つ初代Switchに対して、任天堂がSwitch 2発売後もこうした脆弱性報告への対応を継続している点だ。
次世代機への注目が集まりがちな時期でも、旧機種の安全性を維持する体制が動いていることは、長くハードを使い続けるユーザーにとって地味だが重要な安心材料になる。
CVE番号を取得して脆弱性を公表するという対応自体も、家庭用ゲーム機メーカーとしては珍しく、外部の研究者からの指摘を隠さず開示する姿勢の表れとも読める。

まとめ

初代SwitchのQRコード関連機能にCVSS7.0の脆弱性が見つかり、任天堂は9月10日配信のシステムバージョン23.0.0で修正した。
対象はアルバムの「スマートフォンへ送る」機能とマリオカートライブホームサーキットのQRコードで、Switch 2は影響を受けない。
本体を最新版に更新していない人は、設定からシステム更新を確認しておきたい。