- Nintendo Switchの脆弱性は自分も対象？23.0.0未満・QRコードの条件と対処法
- Nintendo Switchにどんな脆弱性が見つかった？
- 自分のSwitchは対象？まず23.0.0か確認
- Switch Lite・有機ELモデルも対象？
- Nintendo Switch 2は対象？
- QRコードを読み込むと危険？実際は逆
- アルバムの「スマートフォンへ送る」はどう関係する？
- 『マリオカート ライブ ホームサーキット』は何が関係する？
- 過去に画面写真をスマホへ送った人は大丈夫？
- 何の情報が盗まれる可能性がある？
- ニンテンドーアカウントのパスワード変更は必要？
- 23.0.0への更新方法
- すぐ23.0.0へ更新できない場合は？
- 実際に悪用された被害は確認されている？
- CVSSは7.0？8.4？数字が違う理由
- まとめ
Nintendo Switchの脆弱性は自分も対象？23.0.0未満・QRコードの条件と対処法
Nintendo Switchに見つかった脆弱性「CVE-2026-82079」が、2026年9月10日に任天堂から公表されました。
「Switchを持っているだけで危険なの？」
「QRコードを読み込むと乗っ取られる？」
「前に画面写真をスマホへ送ったことがあるけど大丈夫？」
と不安になった人もいるかもしれません。
まず確認しておきたいのは、今回の脆弱性はNintendo Switchのシステムバージョン23.0.0未満が対象で、9月10日に配信された23.0.0で修正済みということです。現在23.0.0なら、今回公表されたCVE-2026-82079については対策が適用されています。任天堂も最新バージョンへの更新を正式な対策として案内しています。
もう一つ大事なのがQRコードです。
今回問題になっているのは、ユーザーが怪しいQRコードをSwitchで読み込むことではありません。悪意ある第三者が、Switch本体やテレビに表示されたQRコードを直接読み取れる状況が攻撃成立の前提です。
任天堂が挙げているのも、「アルバムからスマートフォンへ送る」と『マリオカート ライブ ホームサーキット』の2つの限定的な場面です。
そのため、「Switchがインターネットにつながっているだけで世界中から攻撃される」といった内容でもありません。
自分のSwitchが対象なのか、何を確認すればよいのか、順番に見ていきます。
Nintendo Switchにどんな脆弱性が見つかった？
今回公表された脆弱性の識別番号はCVE-2026-82079です。
公式CVEレコードでは、Nintendo Switchのローカル無線通信機能に存在する「スタックベースのバッファオーバーフロー」と説明されています。
かなり専門的な言葉ですが、一般ユーザーが仕組みまで理解する必要はありません。
簡単にいえば、Switchのローカル無線通信を処理する部分に問題があり、特定の条件を満たすと、第三者に本来許可されていない処理を実行されたり、本体に保存された情報を取得されたりする可能性があったというものです。
CVEレコードでは、無線通信圏内の攻撃者が細工した通信によって任意のコードを実行できる可能性があると説明されています。対象は23.0.0より前のNintendo Switchです。
ただし、この技術上の影響だけを見て「近くにいる人なら誰でもSwitchを乗っ取れる」と考えるのは正確ではありません。
任天堂は利用者向けの通知で、実際に悪用するにはさらに具体的な条件が必要だと説明しています。
自分のSwitchは対象？まず23.0.0か確認
一番簡単な判断基準は、本体のシステムバージョンです。
| 本体・状態 | CVE-2026-82079について |
|---|---|
| Nintendo Switch 23.0.0未満 | 対象 |
| Nintendo Switch 23.0.0 | 修正済み |
| 23.0.0より新しいバージョン | 今回の修正を含む |
| Nintendo Switch 2 | 今回のAffected Productには含まれていない |
CVEの正式なAffected欄には、Nintendo Switchについて「23.0.0未満」と記載されています。
「23.0.0以下」ではありません。
23.0.0そのものは対策済みです。任天堂のCVEレコードにも、解決策として「System Update 23.0.0」が明記されています。
日本向けの本体更新情報でも23.0.0は2026年9月10日配信となっており、このバージョンで修正される脆弱性として任天堂のセキュリティ情報へ案内されています。
自分のバージョンが分からない場合は、
HOMEメニュー → 設定 → 本体 → 本体の更新
と進んでください。
「本体の更新」の項目付近に、現在のシステムバージョンが表示されます。
23.0.0なら今回の脆弱性については修正済みです。今後23.0.0より新しいバージョンが配信されている場合は、その最新版へ更新してください。
Switch Lite・有機ELモデルも対象？
通常のNintendo Switchだけでなく、Nintendo Switch LiteやNintendo Switch（有機ELモデル）を使っている人も気になるところです。
任天堂の日本向けサポートでは、
- Nintendo Switch（有機ELモデル）
- Nintendo Switch
- Nintendo Switch Lite
の3種類を「Nintendo Switchファミリー」としています。
さらにサポートページ上で「Nintendo Switch」や「本体」とだけ表記している場合はNintendo Switchファミリーすべてを指すと説明しています。
このため、今回の記事では通常モデルだけでなく、Nintendo Switch Lite、有機ELモデルについても23.0.0未満なら対象として扱います。
Liteだから今回の更新を確認しなくてよい、ということではありません。
特にNintendo Switch Liteでも、後述するアルバムのスマートフォン転送が利用できます。また、『マリオカート ライブ ホームサーキット』もLiteに正式対応しています。
Nintendo Switch 2は対象？
Nintendo Switch 2は今回のCVE-2026-82079について、同じ扱いではありません。
公式CVEレコードでAffected Productとして登録されているのはNintendo Switchです。Nintendo Switch 2は含まれていません。
任天堂のセキュリティ通知にも、
今回の脆弱性を利用してNintendo Switch 2の本体情報を取得することはできない
という注意書きがあります。
少しややこしいのは、Nintendo Switch 2にも2026年9月10日に「23.0.0」という同じ番号のアップデートが配信されていることです。
しかし、バージョン番号が同じだからといって、Switch 2にも同じ脆弱性があったという意味ではありません。
今回公表されたCVE-2026-82079の対象として確認されているのはNintendo Switch側です。
QRコードを読み込むと危険？実際は逆
今回もっとも誤解しやすい部分です。
「QRコードを使う脆弱性」と聞くと、
怪しいQRコードをSwitchで読み込むと感染する
ような話を想像するかもしれません。
しかし、今回の仕組みは逆です。
SwitchがQRコードを表示し、それを別の機器が読み取る場面が関係しています。
任天堂が確認しているのは次の2つです。
- アルバムの「スマートフォンへ送る」を利用するとき
- 『マリオカート ライブ ホームサーキット』でカートを使用するとき
そして、悪意ある第三者がSwitch本体またはテレビ画面に表示されたQRコードを直接スキャンすることが悪用の前提だとされています。
任天堂は逆に、第三者がそのQRコードを読み取ることができない環境では、この脆弱性を悪用できないと説明しています。
そのため、
「インターネットに接続しているだけで攻撃される」
「QRコードを画面に出した瞬間に情報が抜かれる」
「近くに人がいるだけで乗っ取られる」
という話ではありません。
具体的な攻撃可能距離について任天堂は示していないため、「○メートル以内なら危険」といった線引きもできません。
アルバムの「スマートフォンへ送る」はどう関係する？
Nintendo Switchでは、アルバムに保存した画面写真や動画をスマートフォンへ直接送ることができます。
操作は、
アルバム → 画面写真や動画を選択 → 共有や編集 → スマートフォンへ送る
です。
このときSwitch画面にQRコードが表示され、スマートフォンのカメラで読み取って両者を接続します。接続後には2つ目のQRコードも表示されます。
今回のセキュリティ通知が問題にしているのは、このQRコードを自分のスマートフォンではなく、悪意ある第三者に直接読み取られる状況です。
普段、自宅などで自分のSwitchと自分のスマートフォンだけを使って画面写真を送っている場合、それだけで「情報が漏れた」という意味にはなりません。
『マリオカート ライブ ホームサーキット』は何が関係する？
もう一つ任天堂が挙げているのが『マリオカート ライブ ホームサーキット』です。
これは、カメラを搭載した実物のカートとNintendo Switchを連動させ、自宅の床をコースにして遊ぶゲームです。
Switchとカートを初めて接続する際には、Switchのゲーム画面に表示されたQRコードをカートの内蔵カメラで読み取ってペアリングします。
ここでも、
「SwitchがQRコードを読む」
わけではありません。
Switchが表示したQRコードをカート側が読みます。
なお、『マリオカート ライブ ホームサーキット』を持っていないから今回の脆弱性と完全に無関係、とも言い切れません。
アルバムの「スマートフォンへ送る」という別の対象場面があるからです。
一方で、アルバムのスマホ転送も使わず、『マリオカート ライブ』も利用していなければ、少なくとも任天堂が今回示した2つの場面に遭遇する機会はありません。
それでも、対象バージョンなら23.0.0へ更新しておくのが最も確実です。
過去に画面写真をスマホへ送った人は大丈夫？
過去に一度でも「スマートフォンへ送る」を使ったからといって、すでに情報が流出していると考える必要はありません。
任天堂自身が、悪用には第三者によるQRコードの直接読み取りが必要だと説明しています。
そのため、
スマホへ画像を送ったことがある＝被害に遭った
という関係ではありません。
もちろん、個々の利用状況について「絶対に何も起きていない」と外部から保証することもできません。
ただ、今回の公式発表は過去の情報漏えい事故を告知したものではなく、悪用された場合に情報取得などにつながる可能性がある脆弱性を公表し、修正版を案内したものです。
何の情報が盗まれる可能性がある？
任天堂は、悪用された場合に第三者が本体に保存されている情報を取得する可能性があると説明しています。
ただし、公式資料では具体的に、
- セーブデータ
- 画面写真
- ニンテンドーアカウントのパスワード
- メールアドレス
- 氏名や住所
- クレジットカード情報
のどれが取得できるのかまでは示されていません。
そのため、「パスワードが盗まれる」「カード番号が漏れる」「セーブデータが抜かれる」と個別の情報まで断定することはできません。
「本体内の情報を取得される可能性がある」というところまでが、現時点で任天堂が公表している範囲です。
ニンテンドーアカウントのパスワード変更は必要？
今回確認した任天堂の公式対策には、
- パスワード変更
- 二段階認証の再設定
- クレジットカードの停止
- 本体の初期化
といった作業は含まれていません。
任天堂が案内している根本的な対策は、システムバージョン23.0.0への更新です。
もちろん、二段階認証などは一般的なアカウント保護として有効ですが、「今回の脆弱性が見つかったから必ずパスワードを変更しなければならない」という公式案内ではありません。
クレジットカード情報が今回流出したとの発表も確認されていません。
必要以上に慌ててカードを止めたり、本体を初期化したりする必要があるという情報は、任天堂から出ていません。
23.0.0への更新方法
まだ23.0.0未満だった場合は、本体を更新します。
手順はシンプルです。
HOMEメニュー → 設定 → 本体 → 本体の更新
Nintendo Switchをインターネットに接続した状態で「本体の更新」を選ぶと、最新システムへアップデートできます。
通常はインターネットに接続していると更新データが自動でダウンロードされ、ソフトを起動する前などに更新案内が表示されます。
ただ、「自動更新だから大丈夫だろう」と考えるより、一度バージョン番号を確認した方が確実です。
今回については、
| 現在のバージョン | やること |
|---|---|
| 23.0.0未満 | 本体を最新バージョンへ更新 |
| 23.0.0 | CVE-2026-82079は修正済み |
| 23.0.0より新しい | 今回の修正を含む |
| すぐ更新できない | 任天堂の暫定対策を利用 |
となります。
もしインターネット接続エラーで本体更新ができない場合、任天堂は本体を再起動すると接続できる場合があると案内しています。
すぐ23.0.0へ更新できない場合は？
何らかの理由ですぐに本体更新できない場合についても、任天堂は暫定的な対策を示しています。
アルバムの「スマートフォンへ送る」や『マリオカート ライブ ホームサーキット』を利用する際は、Switch本体またはテレビに表示されるQRコードを第三者から見られたり、スキャンされたりしない環境で使うよう案内しています。
さらに、
自分以外のスマートフォンで「スマートフォンへ送る」を利用しないこと
『マリオカート ライブ』では自分以外のカートを利用しないこと
も挙げられています。
ただし、これはあくまですぐ更新できない場合の暫定策です。
「QRコードを隠して使い続ければ更新しなくてよい」という意味ではありません。
23.0.0へのアップデートが最優先です。
実際に悪用された被害は確認されている？
2026年9月15日時点で確認できる任天堂のセキュリティ通知は、「情報漏えい事故が発生した」という発表ではありません。
また、公式CVEレコードに追加されたCISAのSSVC情報では、Exploitation（悪用状況）は「none」とされています。
少なくとも9月15日時点で確認できる任天堂とCVEの公的情報には、この脆弱性を利用した実際の攻撃が確認されたとの記載はありません。
ただし、これは「世の中に悪用例が絶対に一件も存在しない」と証明するものではありません。
現時点で公表されている情報から言えるのは、
脆弱性は確認されているが、任天堂の発表自体は実被害の公表ではない
というところまでです。
CVSSは7.0？8.4？数字が違う理由
この脆弱性について検索すると、「CVSS 8.4」という数字を見ることがあります。
一方、公式CVEレコードにはNintendo自身の評価としてCVSS 4.0で7.0（High）が登録されています。
CISAが追加した評価は、別の評価方式であるCVSS 3.1で8.4（High）です。
つまり、
Nintendo CNA：CVSS 4.0 7.0（High）
CISA ADP：CVSS 3.1 8.4（High）
で、評価元とCVSSのバージョンが違います。
そのため「任天堂が危険度8.4と発表した」とするのは正確ではありません。
また、数値がHighだからといって、Switchユーザー全員が無条件で攻撃を受けるわけでもありません。
技術的に悪用された場合の影響と、実際に攻撃が成立する条件は分けて考える必要があります。
今回の場合、任天堂はQRコードを第三者が直接読み取るという限定的な条件を示しています。その一方で、公式の修正版がすでに配信されているため、条件が限定的だからといって古いバージョンを使い続ける理由もありません。
まとめ
今回公表されたCVE-2026-82079は、Nintendo Switchのローカル無線通信に関する脆弱性です。
対象はシステムバージョン23.0.0未満で、2026年9月10日に配信された23.0.0で修正されています。
QRコードについても、「怪しいQRコードをSwitchで読み込むと感染する」という話ではありません。
任天堂が示しているのは、アルバムの「スマートフォンへ送る」や『マリオカート ライブ ホームサーキット』を利用するときに表示されるQRコードを、悪意ある第三者が直接読み取れる状況です。
過去にスマートフォンへ画面写真を送った経験があるだけで、情報流出が起きたと考える必要もありません。
まず確認することは一つです。
HOMEメニュー → 設定 → 本体 → 本体の更新
を開き、現在のシステムバージョンを確認してください。
23.0.0以上なら、今回のCVE-2026-82079については修正済みです。
23.0.0未満なら、最新バージョンへ更新する。
今回については、それが最も確実で、任天堂が正式に案内している対策です。